Ultra-Fusion: A Multimodal Dynamic Detection Framework for Malware Classification with Hybrid Sequence Engine

Dans le monde numérique, les programmes logiciels sont construits à partir de longues listes d'instructions qui disent à un ordinateur ce qu'il doit faire. Lorsqu'un programme est malveillant, on l'appelle un malware, et il cache souvent sa véritable nature en brouillant son code ou en mélangeant ses instructions avec des instructions inoffensives. Depuis des décennies, les experts en sécurité tentent de débusquer ces menaces en cherchant des motifs spécifiques et connus, un peu comme un bibliothécaire vérifiant le titre d'un livre par rapport à une liste d'histoires interdites. Cependant, les malwares modernes sont devenus trop astucieux pour ce contrôle simple ; ils changent constamment d'apparence, donnant l'impression d'être un livre différent à chaque fois qu'on l'ouvre. Pour résoudre cela, les chercheurs se sont tournés vers l'observation du comportement d'un programme pendant son exécution, en prêtant une attention particulière aux requêtes spécifiques qu'il adresse au système d'exploitation. Ces requêtes, connues sous le nom d'appels API, forment une séquence qui agit comme une empreinte digitale comportementale. Le défi consiste désormais à lire ces empreintes rapidement et avec précision, même lorsque le malware tente de confondre le lecteur en insérant des requêtes factices et inoffensives dans la liste.

Une équipe de chercheurs a développé un nouveau système appelé Ultra-Fusion pour s'attaquer à ce problème en observant le comportement des malwares sous trois angles différents à la fois. Au lieu de s'appuyer sur une seule façon d'analyser les données, leur méthode combine un instantané visuel, une chronologie des événements et un résumé statistique en une seule décision puissante. Les chercheurs ont pris la liste brute des requêtes système et l'ont transformée en une image en couleur, où différentes couleurs représentaient différents types d'informations : l'identité de la requête, la fréquence à laquelle elle se produisait et le type de tâche qu'elle effectuait. Cela leur a permis d'utiliser des outils de reconnaissance d'images pour repérer la « texture » unique d'un programme malveillant, même si l'ordre des requêtes était mélangé. Simultanément, ils ont utilisé un moteur spécialisé conçu pour comprendre les longues chaînes d'événements, aidant le système à se souvenir des connexions entre des actions survenues longtemps après les premières. Pour se prémunir contre les ruses où les attaquants insèrent des données inutiles pour masquer leurs traces, ils ont ajouté un troisième niveau qui compte simplement combien de fois chaque type de requête apparaît dans l'ensemble de la liste, fournissant un filet de sécurité qui repose sur la fréquence globale plutôt que sur l'ordre spécifique.

Lorsque l'équipe a testé ce nouveau cadre sur trois collections différentes de données de malwares, les résultats ont été remarquablement cohérents. Le système a identifié correctement les logiciels malveillants dans presque tous les cas, atteignant un taux de précision de 99,49 % sur le plus grand ensemble de données. Cette performance était supérieure aux autres méthodes de pointe qui ne reposaient que sur un seul type d'analyse, comme l'examen de la seule séquence d'événements ou de la seule apparence visuelle. Les chercheurs ont constaté que la combinaison de ces trois vues était essentielle ; lorsqu'ils retiraient une seule partie du système, la précision chutait, prouvant que chaque angle fournissait des informations uniques et nécessaires. Le système a également montré une forte capacité à détecter les menaces très tôt, identifiant correctement le malware après n'avoir vu que les dix premières requêtes système, ce qui est crucial pour stopper une attaque avant qu'elle ne cause des dommages.

La découverte la plus significative fut peut-être la capacité du système à rester calme face à une confusion délibérée. Les chercheurs ont testé le cadre en insérant des instructions inoffensives dans la liste des actions du malware, simulant une attaque où le code malveillant tente de se cacher au milieu d'une mer de code sain. Même lorsque la moitié des instructions de la liste étaient factices, le système maintenait un haut niveau de précision, alors que les anciennes méthodes éprouvaient des difficultés significatives. Cette résilience suggère que les parties visuelles et statistiques du système agissent comme une ancre stable, permettant au logiciel de voir à travers le bruit et de reconnaître le comportement malveillant central. De plus, le système s'est révélé hautement adaptable ; lorsqu'il était entraîné sur un ensemble de données, il était capable de reconnaître les malwares dans des ensembles de données complètement différents avec une précision quasi parfaite, indiquant qu'il avait appris la nature fondamentale du comportement malveillant plutôt que de simplement mémoriser des exemples spécifiques.

Les chercheurs ont également regardé à l'intérieur du système pour comprendre comment il prenait ses décisions, en utilisant une technique qui met en évidence les parties les plus importantes des données. Ils ont découvert que le système concentrait son attention sur des interactions spécifiques à haut risque, telles que les tentatives de chargement de code caché ou d'écriture dans la mémoire d'un autre programme, qui sont des signes classiques d'une attaque. Cette transparence confirme que le système ne devine pas, mais identifie des modèles dangereux réels. En combinant ces trois manières distinctes d'aborder le problème, le cadre Ultra-Fusion offre un nouvel outil robuste pour la cybersécurité. Il démontre qu'en observant une menace à travers plusieurs lentilles simultanément, les systèmes de sécurité peuvent devenir bien plus efficaces pour repérer l'invisible et le déguisé, offrant une défense plus solide dans un environnement où les menaces évoluent constamment.