💻 computer science

MalTree: Tracing Malware Evolution from Embeddings at Scale

L'article introduit MalTree, un cadre évolutif qui adapte les techniques de phylogénétique de la bioinformatique pour modéliser automatiquement l'évolution des malwares à l'aide de caractéristiques structurelles, comportementales et d'images, atteignant une cohérence temporelle de 87 % et permettant des stratégies de défense proactives et conscientes de la lignée.

Auteurs originaux : Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Publié 2026-06-08

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez le monde des virus informatiques (malwares) non pas comme un amas chaotique de code malveillant aléatoire, mais comme un arbre généalogique géant et évolutif, semblable à l'histoire de l'humanité ou à la propagation d'un virus de la grippe.

Pendant longtemps, les experts en sécurité ont joué au jeu du « tape-taupe ». Ils attendent qu'un nouveau virus apparaisse, l'étudient, puis construisent un bouclier pour l'arrêter. Mais au moment où ils construisent le bouclier, le virus a déjà changé de visage, s'est faufilé et a créé une nouvelle version. Ce document, MalTree, propose une manière de ne plus jouer à la tape-taupe, mais de commencer à comprendre l'histoire familiale.

Voici la décomposition de leur méthode, en utilisant des analogies simples :

1. Le Problème : Le jeu « Réactif »

Imaginez la détection de malwares comme un videur à l'entrée d'une boîte de nuit. Le videur possède une liste de méchants connus (signatures). Si quelqu'un ressemble à un méchant sur la liste, il est expulsé. Mais les méchants sont malins ; ils portent des déguisements (chiffrement) ou changent de vêtements (polymorphisme) pour paraître différents. Au moment où le videur met à jour sa liste, le méchant a déjà changé à nouveau.

Les auteurs soutiennent qu'au lieu de simplement regarder des « méchants » individuels, nous devrions regarder leur arbre généalogique. Si nous savons que le « Virus A » est le parent du « Virus B », et que le « Virus B » est le parent du « Virus C », nous pouvons prédire à quoi le « Virus D » pourrait ressembler avant même qu'il ne se présente.

2. La Solution : MalTree (Le Généalogiste Numérique)

Les chercheurs ont construit un outil appelé MalTree. Au lieu de lire le code ligne par ligne (ce qui revient à essayer de lire un livre écrit dans une langue que vous ne parlez pas), ils ont utilisé une méthode empruntée à la biologie appelée Phylogénétique.

L'ADN du Malware : En biologie, les scientifiques comparent l'ADN pour voir à quel point deux animaux sont apparentés. MalTree fait la même chose avec les malwares. Il prend un virus et le transforme en une « empreinte digitale » (appelée embedding).
Trois types d'empreintes digitales : Pour obtenir une image complète, ils n'ont pas regardé une seule chose. Ils ont regardé trois « angles » différents :
1. Le Squelette (Statique) : Ce à quoi ressemble le code lorsqu'il est figé (comme l'observation du bloc moteur d'une voiture).
2. Le Comportement (Dynamique) : Ce que le virus fait lorsqu'il s'exécute (comme regarder une voiture rouler pour voir si elle accélère ou dévie de sa trajectoire).
3. Le Visuel (Image) : Ils ont transformé le code en une image (comme un code-barres) et ont utilisé l'IA pour « voir » des motifs, de la même manière qu'un humain reconnaît un visage.

Ils ont combiné ces trois vues en une empreinte digitale unique et ultra-détaillée pour chaque virus.

3. Construire l'Arbre

Une fois qu'ils ont obtenu les empreintes digitales, ils ont utilisé des mathématiques (plus précisément des algorithmes nommés UPGMA et Neighbor-Joining) pour calculer à quel point chaque virus est « différent » de tous les autres.

Si deux virus ont des empreintes très similaires, ils sont placés proches les uns des autres sur l'arbre (frères/sœurs).
S'ils sont très différents, ils sont placés loin les uns des autres (cousins éloignés).

Ils ont fait cela pour 103 883 échantillons de malwares différents. C'est une réunion de famille massive !

4. Le Test de la « Machine à Remonter le Temps »

Une grande question est : Cet arbre est-il réellement authentique, ou l'ordinateur a-t-il simplement deviné ?

Pour prouver l'efficacité de leur méthode, les chercheurs ont utilisé les horodatages de VirusTotal (la date à laquelle un virus a été signalé pour la première fois sur Internet).

La Logique : Dans un véritable arbre généalogique, le « parent » doit exister avant l'« enfant ».
Le Test : Ils ont vérifié si les virus apparus plus tôt dans le temps étaient effectivement placés plus haut sur l'arbre (plus près de la racine) que ceux apparus plus tard.
Le Résultat : Cela a fonctionné 87 % du temps. Cela signifie que l'arbre qu'ils ont construit correspond à l'histoire réelle de l'évolution de ces virus.

5. Ce qu'ils ont découvert (Les moments « Eurêka ! »)

Le document met en lumière quelques découvertes clés grâce à cet arbre :

Différentes vitesses : Tout comme certaines familles ont des enfants chaque année et d'autres attendent une décennie, certaines familles de malwares évoluent très lentement, tandis que d'autres mutent incroyablement vite. Une famille (Bashlite) a changé plus de 10 fois plus vite que les autres. Cela suggère que les équipes de sécurité ne peuvent pas utiliser une défense « universelle » ; elles doivent adapter leur vitesse à la famille de virus spécifique.
Le Botnet Mirai : Ils ont retracé le célèbre virus Mirai (qui a causé une énorme panne Internet en 2016). L'arbre a correctement identifié ses « enfants », incluant Bashlite, Okiru et Gaftyt. Cela correspond à ce que les experts humains savent déjà grâce à des années d'investigation manuelle, prouvant que l'ordinateur peut accomplir en quelques heures ce qui prend normalement des mois aux humains.
Le problème du « Hub » : Ils ont découvert que certains virus agissent comme des « camions de livraison » (loaders) qui transportent de nombreux types de charges utiles malveillantes différentes. L'arbre a montré ces connexions, mais a aussi averti que parfois, les virus semblent apparentés simplement parce qu'ils utilisent les mêmes outils, et non parce qu'ils sont réellement de la même famille.

L'essentiel

MalTree est un outil qui transforme le chaos des virus informatiques en un arbre généalogique organisé. En comprenant l'histoire familiale, les experts en sécurité peuvent cesser de simplement réagir au dernier déguisement et commencer à anticiper la manière dont la famille de virus va évoluer ensuite.

C'est comme passer de la tentative de capturer un voleur isolé dans l'obscurité à la possession d'une carte de tout le milieu criminel, sachant exactement qui est lié à qui et où ils sont susceptibles de frapper ensuite.

Résumé technique : MalTree – Tracer l'évolution des malwares à partir d'embeddings à grande échelle

1. Énoncé du problème

Les paradigmes actuels de détection de malwares sont fondamentalement réactifs. Les modèles d'apprentissage automatique entraînés sur des échantillons connus se dégradent à mesure que les menaces évoluent par polymorphisme, métamorphisme et obfuscation. Bien que la compréhension des relations évolutives entre les familles de malwares puisse favoriser une défense proactive, le rétro-ingénierie traditionnelle pour découvrir la lignée est lente, prenant souvent des mois ou des années. De plus, les approches phylogénétiques existantes dans l'analyse de malwares sont limitées par de petits échantillons, des modalités de caractéristiques uniques ou un manque de validation temporelle pour confirmer si les arbres inférés reflètent réellement les chronologies d'émergence. Il existe un fossé critique dans la capacité à passer l'analyse évolutive à l'échelle de grands ensembles de données tout en validant que les similitudes structurelles correspondent à de véritables lignées historiques.

2. Méthodologie

Les auteurs proposent MalTree, un cadre qui applique des techniques phylogénétiques inspirées de la bioinformatique aux échantillons de malwares à une échelle sans précédent. Le pipeline se compose de quatre étapes principales :

2.1. Extraction d'embeddings multi-modaux

Plutôt que d'analyser les binaires bruts (qui sont souvent packés), MalTree analyse les dumps mémoire extraits d'exécutions contrôlées en sandbox pour révéler le code déchiffré et les états d'exécution. Il extrait trois embeddings complémentaires :

Pseudo-statique ( $e_s$ ) : Dérivé des sections exécutables (headers, imports, exports, opcodes) via la bibliothèque LIEF, encodé via un modèle d'embedding de texte (OpenAI text-embedding-3-large) à 3 000 dimensions, concaténé avec des histogrammes d'octets.
Dynamique ( $e_d$ ) : Capture les traces comportementales (activités de fichiers, processus, registre, réseau, mutex) issues de l'exécution en sandbox, encodées à 1 000 dimensions.
Image ( $e_i$ ) : Dumps mémoire convertis en images RGB (bin2png) et traités via une architecture ResNet-50 pré-entraînée sur des benchmarks d'images de malwares et affinée sur le jeu de données, produisant des vecteurs de 2 048 dimensions.

Ces embeddings sont fusionnés par concaténation et un réseau de neurones à deux couches, réduisant la combinaison de 6 560 dimensions à une représentation de 1 000 dimensions pour la construction de l'arbre.

2.2. Construction de l'arbre

Le cadre construit des arbres phylogénétiques à partir des distances par paires dans l'espace d'embedding en utilisant deux algorithmes basés sur la distance :

UPGMA (Unweighted Pair Group Method with Arithmetic Mean) : Suppose un taux d'évolution constant (horloge moléculaire).
Neighbor-Joining (NJ) : Accueille l'hétérogénéité des taux, permettant aux lignées d'évoluer à des vitesses différentes.
Les auteurs utilisent RapidNJ pour atteindre une mise à l'échelle proche de $O(n^2)$ , permettant le traitement de plus de 100 000 échantillons.

2.3. Validation temporelle

Puisque les malwares ne possèdent pas de séquences génétiques et de dates de divergence connues, MalTree introduit une méthode de validation novatrice utilisant les horodatages de première soumission de VirusTotal comme proxys pour le temps d'émergence.

Enracinement : Les arbres sont enracinés en utilisant l'échantillon ayant l'horodatage le plus ancien (enracinement par groupe externe/outgroup) ou via un enracinement par point médian.
Métrique de cohérence : Le cadre valide l'arbre en comparant l'ordre de divergence inféré avec les horodatages. Pour les paires de frères et sœurs partageant un ancêtre commun le plus récent (MRCA), l'échantillon ayant la longueur de chemin la plus courte (distance de branche) vers le MRCA est inféré comme étant apparu plus tôt. Un « score de cohérence temporelle » est calculé comme la proportion de paires de frères et sœurs où l'ordre inféré par l'arbre correspond à l'ordre des horodatages.

2.4. Analyse inter-familles

Pour inférer les relations entre les familles, le cadre agrège les échantillons par famille (déterminée par les étiquettes de consensus de VirusTotal). Il calcule la distance de chemin médiane de chaque famille de ses feuilles à son MRCA commun. Des arêtes dirigées sont créées de la famille ayant la distance médiane la plus courte (divergence plus précoce) vers la famille ayant la distance la plus longue, les poids des arêtes représentant la distance médiane de la famille source.

3. Contributions clés

Analyse phylogénétique à grande échelle : Les auteurs ont construit des arbres phylogénétiques validés à partir de 103 883 échantillons de malwares couvrant 538 familles. Cette analyse a été réalisée en environ 11 heures (UPGMA) ou 3 jours (NJ) sur un cluster de 20 cœurs, représentant la plus grande analyse de ce type à ce jour.
Cadre de validation temporelle : Le papier introduit une méthode pour valider la directionnalité de l'évolution en utilisant les horodatages de VirusTotal, comblant un vide dans les travaux précédents où les arbres inférés n'étaient pas vérifiés par rapport aux chronologies d'émergence réelles.
Perspectives évolutives interprétables : Le cadre inclut des méthodes de simplification d'arbre et d'analyse inter-familles qui révèlent des relations cohérentes avec l'intelligence de cybersécurité publique (ex: la lignée du botnet Mirai).
Publication en accès ouvert : Le code et les embeddings sont mis à disposition de la communauté pour faciliter la recherche ultérieure.

4. Résultats expérimentaux

Qualité des embeddings : Les embeddings multi-modaux combinés ont atteint une précision de classification de famille de 93,69 % en utilisant un probe linéaire, surpassant les modalités individuelles. Les embeddings d'image seuls ont atteint 94,91 %, suggérant que la structure visuelle discrimine fortement les familles.
Cohérence temporelle : L'algorithme Neighbor-Joining avec enracinement par groupe externe a atteint un score de cohérence temporelle de 87,1 %. Cela indique que les relations évolutives inférées s'alignent étroitement avec les chronologies d'émergence réelles. En revanche, l'UPGMA a bien performé (86,0 %) dans sa configuration nominale mais s'est considérablement dégradé lorsqu'il a été forcé dans des schémas d'enracinement alternatifs, suggérant que l'évolution des malwares viole souvent l'hypothèse de taux constant.
Taux d'évolution : L'analyse de la dérive des embeddings a révélé que les taux de mutation sont non uniformes entre les familles. Certaines familles (ex: Bashlite, Syslogk) présentent une dérive plus de 10 fois supérieure à d'autres, violant l'hypothèse de l'horloge moléculaire requise par l'UPGMA et favorisant le Neighbor-Joining.
Études de cas :
- Botnet Mirai : L'arbre inféré a correctement identifié cinq descendants connus de Mirai (Bashlite, Okiru, MooBot, Gafgyet, Rapperbot) avec des poids d'arêtes cohérents avec la lignée de code documentée et l'intelligence sur les menaces. L'analyse statique des symboles d'import/export a confirmé une forte réutilisation de code (ex: 82 % de chevauchement entre Mirai et Okiru).
- SmokeLoader : Le cadre a identifié des associations de chaînes de livraison (ex: avec Amadey, RedLine) plutôt que d'héritage de code, démontant sa capacité à capturer la proximité opérationnelle.
- Limitations observées : Le cadre a capturé des similitudes fonctionnelles plutôt qu'organisationnelles. Par exemple, l'écosystème Conti (groupe Wizard Spider) ne s'est pas regroupé car les outils (trojans bancaires, loaders, ransomware) occupaient des régions différentes de l'espace de caractéristiques malgré une paternité partagée.

5. Signification et affirmations

Le papier affirme que MalTree fournit une base pour passer de la classification échantillon par échantillon vers une modélisation évolutive consciente de la lignée. En démontrant que les méthodes phylogénétiques peuvent capturer une structure évolutive significative à grande échelle, ce travail suggère que les stratégies de détection devraient être adaptées aux tempos évolutifs spécifiques des familles de malwares.

Les auteurs soulignent que leur approche complète les flux de travail existants en produisant des informations évolutives en quelques semaines plutôt qu'en plusieurs mois de rétro-ingénierie manuelle. Cependant, ils restent modestes quant à la portée, notant que :

Le cadre capture les relations fonctionnelles (réutilisation de code, kits d'outils partagés) plutôt que les relations organisationnelles (attribution aux acteurs de menace).
Il ne peut pas distinguer automatiquement l'évolution du code, les associations de chaîne de livraison et la proximité incidente dans l'espace de caractéristiques.
La validité des arbres inférés repose sur l'hypothèse que les longueurs de branches plus courtes au sein des paires de frères et sœurs correspondent à une émergence plus précoce, une hypothèse d'« horloge locale » qui tient empiriquement pour les divergences peu profondes mais nécessite une validation supplémentaire pour les évolutions très irrégulières.

En fin de compte, MalTree offre une méthode automatisée et scalable pour visualiser et valider l'écosystème numérique co-évolutif des malwares, fournissant aux praticiens de la sécurité des hypothèses pour l'investigation et une compréhension plus profonde de la manière dont les familles de malwares évoluent au fil du temps.