💻 computer science

Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

Cet article propose une approche interprétable, basée sur des règles, pour détecter et expliquer l'évolution des familles de malwares en comparant les ensembles de règles générés afin d'identifier les changements de caractéristiques spécifiques qui constituent une dérive de concept, améliorant ainsi la robustesse et la transparence des systèmes de détection de malwares.

Auteurs originaux : Olha Jurečková, Martin Jureček

Publié 2026-02-04

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Olha Jurečková, Martin Jureček

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous êtes un gardien de sécurité dans un musée. Votre travail consiste à repérer les faux tableaux (logiciels malveillants ou "malwares") et à les distinguer des vrais. Pour ce faire, vous avez un carnet de règles. Par exemple, votre carnet pourrait dire : "Si un tableau possède un cadre rouge ET un fond bleu, c'est un faux."

Pendant un certain temps, cela fonctionne très bien. Mais les faussaires (les créateurs de malwares) deviennent malins. Ils commencent à changer leurs techniques. Ils pourraient changer le cadre en vert ou changer le fond en jaune. Soudain, votre ancien carnet de règles échoue parce que les "faux" ne ressemblent plus exactement aux modèles que vous aviez mémorisés. Dans le monde de l'informatique, c'est ce qu'on appelle la dérive de concept (Concept Drift) : les méchants changent tellement leur style que vos anciennes règles de détection cessent de fonctionner.

Cet article propose une nouvelle façon de détecter ces changements et, surtout, d'expliquer exactement comment les méchants ont changé leurs tactiques.

Le Problème : Le Mystère de la "Boîte Noire"

Habituellement, les programmes informatiques qui détectent les malwares sont comme des "boîtes noires". Ils peuvent dire : "C'est mauvais !" avec une précision de 99 %, mais ils ne peuvent pas vous dire pourquoi. C'est comme un gardien de sécurité qui se contenterait de pointer un tableau du doigt en disant : "Faux !", sans expliquer quelle partie du tableau l'a trahi. C'est frustrant car si vous ne savez pas ce qui a changé, vous ne pouvez pas mettre à jour votre carnet de règles efficacement.

La Solution : Un Détective Basé sur des Règles

Les auteurs de cet article suggèrent d'utiliser un autre type de détective : un qui rédige des règles simples et compréhensibles par l'humain.

Au lieu d'une boîte noire, imaginez un détective qui prend des notes comme celle-ci :

"Règle 1 : Si le fichier fait 500 Ko ET possède une section de code spécifique, il appartient à la famille de malwares 'Agensla'."

Lorsque le malware évolue, l'ordinateur génère un nouvel ensemble de règles pour le nouveau malware modifié.

Comment ils détectent le changement (la "Dérive")

Les chercheurs utilisent une méthode de comparaison ingénieuse :

Le Carnet de Règles Original : Ils rédigent les règles pour la "vieille" version d'une famille de malwares.
Le Carnet de Règles Évolué : Ils utilisent un outil spécial (appelé MAB-malware) pour créer automatiquement des versions "évoluées" de ces malwares qui tentent de passer inaperçues auprès du détecteur. Ensuite, ils rédigent les règles pour ces nouvelles versions.
La Comparaison : Ils comparent les deux carnets de règles côte à côte. Ils calculent un score de "distance".
- Si les règles sont presque identiques, le score est bas (pas de dérive).
- Si les règles sont très différentes, le score est élevé (dérive détectée !).

L'Analogie : Pensez à la comparaison de deux recettes de gâteau au chocolat.

Ancienne Recette : "Utilisez 2 tasses de farine, 1 tasse de sucre, et faites cuire à 175°C."
Nouvelle Recette : "Utilisez 2 tasses de poudre d'amande, 1 tasse de miel, et faites cuire à 150°C."
La "distance" entre ces deux recettes est énorme. La méthode de l'article ne se contente pas de dire "La recette a changé !" Elle pointe spécifiquement les ingrédients qui ont été remplacés (farine $\to$ poudre d'amande, sucre $\to$ miel). Cela indique au gardien de sécurité exactement ce qu'il doit surveiller la prochaine fois.

L'Expérience

L'équipe a testé cela sur six familles différentes de malwares (comme Agensla, DCRat et Mokes). Ils ont utilisé un programme informatique pour faire "évoluer" ces familles de malwares, les rendant plus difficiles à détecter, puis ont vérifié si leur système basé sur des règles pouvait repérer les changements.

Les Résultats :

Précision : Ils ont été capables de détecter quand le malware avait évolué environ 92 % du temps.
Clarté : Comme ils utilisaient des règles simples, ils pouvaient voir exactement quelles caractéristiques (comme la taille du fichier ou des sections de code spécifiques) les auteurs de malwares avaient modifiées pour se cacher.
Meilleur Cas : Pour une famille appelée "Mokes", le système était incroyablement doué pour repérer la différence entre les anciennes et les nouvelles versions.

Pourquoi cela importe

L'article affirme que cette approche est spéciale car elle est interprétable. Elle ne donne pas seulement une réponse "Oui/Non" ; elle donne un "Pourquoi".

Ancienne Méthode : "Ceci est un malware." (Mais vous ne savez pas pourquoi).
Nouvelle Méthode : "Ceci est un malware parce qu'il a modifié son en-tête de fichier et a supprimé une signature de code spécifique."

En sachant comment le malware a changé, les experts en sécurité peuvent mettre à jour leurs défenses plus rapidement et comprendre les tactiques utilisées par les méchants. L'article conclut que l'utilisation de ces règles logiques et simples est un moyen puissant de suivre le rythme du monde en constante évolution des virus informatiques.

Résumé Technique : Détection et Explication de l'Évolution des Familles de Malwares par Analyse de Dérive Basée sur des Règles

Énoncé du Problème
La détection et la classification de malwares sont des tâches critiques mais de plus en plus difficiles en raison de l'évolution continue du code malveillant. Les attaquants modifient constamment les malwares pour échapper à la détection, introduisant une dérive de concept (concept drift) — un phénomène où les propriétés statistiques des caractéristiques des malwares changent au fil du temps. Cette dérive affaiblit les modèles d'apprentissage automatique statiques, réduisant leur efficacité. De plus, bien que les modèles de type "boîte noire" puissent atteindre une précision élevée, ils manquent d'interprétabilité, n'offrant que peu d'informations sur le pourquoi un échantillon est classé comme malveillant ou sur la manière dont il a évolué. Cette opacité entrave la confiance des analystes et la capacité à tirer des renseignements exploitables pour la réponse aux incidents. Les méthodes de détection de dérive existantes reposent souvent sur des modèles complexes et opaques (par exemple, des réseaux de neurones profonds, des méthodes d'ensemble) ou des cadres statistiques qui ne parviennent pas à expliquer la dérive au niveau des caractéristiques (features).

Méthodologie
Les auteurs proposent un cadre interprétable pour détecter et expliquer la dérive de concept dans les familles de malwares en utilisant un classificateur basé sur des règles. L'approche se compose de trois étapes principales :

Génération de Règles (Originale vs Évoluée) :
- Famille Originale : Un classificateur basé sur des règles (plus précisément RIPPER, implémenté via la bibliothèque wittgenstein) est entraîné sur un ensemble représentatif d'échantillons de malwares originaux pour générer un ensemble de règles logiques lisibles par l'homme ( $R_{orig}$ ). Ces règles décrivent les caractéristiques structurelles et comportementales de la famille.
- Famille Évoluée : Des variantes adverses du malware sont générées à l'aide de MAB-malware, un générateur adverse basé sur l'apprentissage par renforcement. Cet outil utilise un agent de bandit multi-bras pour appliquer des modifications binaires minimales (par exemple, l'ajout de données bénignes, la mise à zéro de champs, des transformations de code) afin d'échapper à un classificateur cible (EMBER). Un second ensemble de règles ( $R_{adv}$ ) est généré à partir de ces échantillons évolués en utilisant le même processus RIPPER.
Quantification de la Dérive :
- La méthode compare les ensembles de règles $R_{orig}$ et $R_{adv}$ en utilisant une distance de Hamming normalisée.
- Les règles sont converties en vecteurs binaires où un '1' indique qu'un échantillon est détecté par la règle et '0' sinon.
- La métrique de distance $d(x,y)$ calcule la proportion de positions où les vecteurs binaires diffèrent, quantifiant le désaccord entre les ensembles de règles. Une distance significative indique une dérive de concept.
Détection et Explication de la Dérive :
- Règle de Décision : Un seuil est établi comme étant la moyenne arithmétique de la distance moyenne entre les ensembles de règles provenant de la même famille originale (variance intra-familiale) et la distance entre les familles originales et adverses. Si la distance entre les nouvelles règles et les règles historiques dépasse ce seuil, une dérive de concept est prédite.
- Interprétabilité : Comme le classificateur produit des conditions logiques explicites (par exemple, f3=72 AND f1 in [10,48]), la méthode identifie intrinsèquement quelles caractéristiques et valeurs spécifiques ont changé entre les échantillons originaux et évolués, fournissant une explication directe des tactiques d'évolution du malware.

Configuration Expérimentale
Le cadre a été validé sur six familles de malwares : Agensla, DCRat, Makoob, Mokes, Strab et Taskun.

Données : Les échantillons ont été tirés du jeu de données RawMal-TF.
Caractéristiques : Les caractéristiques statiques ont été extraites de fichiers Windows Portable Executable (PE) en utilisant la bibliothèque LIEF, incluant les métadonnées, les informations d'en-tête, les statistiques de sections, les fonctions importées/exportées et les distributions de octets.
Génération Adversaire : MAB-malware a été utilisé pour créer des échantillons adverses qui ont réussi à échapper au classificateur EMBER.
Dimensions : Les expériences ont été menées sur des dimensions de vecteurs de caractéristiques de 3, 5, 10, 15, 25, 50, 75 et 100.

Résultats Clés

Précision de Détection : La méthode proposée a atteint une précision globale de détection de dérive de concept de 92,08 % sur l'ensemble des six familles et des dimensions de caractéristiques.
Performance par Famille :
- Agensla et Mokes ont atteint une précision de 100 % sur toutes les dimensions.
- Taskun a présenté une erreur unique (sur 80 expériences) dans le cadre de la configuration à 100 dimensions.
- DCRat a montré le taux d'erreur le plus élevé (22,5 % au total), bien qu'elle ait atteint 0 % d'erreur à la dimension 25.
Magnitude de la Dérive : L'étude a démontré que la métrique de distance quantifie efficacement l'ampleur de la dérive. Pour la famille Mokes, la distance entre les ensembles de règles originaux et adverses était jusqu'à 15 fois plus grande que la distance entre les ensembles de règles dérivés de différents sous-ensembles de la même famille originale.
Interprétabilité : L'approche basée sur les règles a réussi à identifier les changements de caractéristiques spécifiques responsables de l'évolution, se distinguant ainsi des méthodes de détection de dérive de type "boîte noire".

Signification et Contributions
L'article affirme que sa principale contribution est de combler le fossé entre la détection de dérive efficace et l'analyse forensique pratique en privilégiant l'interprétabilité. Contrairement aux approches existantes basées sur des statistiques ou l'apprentissage profond qui fonctionnent comme des boîtes noires, ce cadre :

Met l'accent explicitement sur l'interprétabilité : En exploitant des classificateurs basés sur des règles, il fournit des descriptions lisibles par l'homme des malwares originaux et évolués.
Permet une explication au niveau des caractéristiques : Il identifie les conditions et les caractéristiques spécifiques responsables de la dérive, permettant aux analystes de comprendre comment les auteurs de malwares contournent la détection (par exemple, des changements spécifiques dans l'utilisation des API ou les champs d'en-tête).
Quantifie l'évolution : Il offre une mesure quantitative rigoureuse de la dérive tout en expliquant simultanément les changements de comportement sous-jacents.

Les auteurs positionnent ce travail comme l'une des premières études appliquant un cadre interprétable basé sur des règles spécifiquement pour la détection de la dérive de concept dans l'analyse de malwares, visant à soutenir à la fois les systèmes de détection et les efforts d'analyse de menaces. Un travail futur est noté pour potentiellement étendre ce cadre en utilisant des arbres de décision et en explorant différentes métriques de distance.