Riepilogo Tecnico: TrapNet – Impronte Digitali di Malware Non Supervisionate e Veloci tramite Analisi Grafica

1. Enunciato del Problema

La proliferazione del malware sta accelerando in modo esponenziale, con stime che suggeriscono l'apparizione di circa 250.000 nuovi campioni ogni giorno. L'indagine manuale di tale volume è impraticabile, creando un'esigenza urgente di strumenti di triage automatizzati e scalabili. I metodi esistenti di clustering non supervisionato spesso si basano sull'analisi dinamica (sandboxing), che soffre di una copertura di esecuzione limitata e di scarsa scalabilità a causa degli elevati requisiti di risorse. Al contrario, l'analisi statica offre efficienza ma spesso fatica con l'offuscamento del codice e il packing. La sfida centrale affrontata da questo articolo è come triage in modo efficiente ed efficace enormi flussi di binari sospetti, rilevare la natura malevola e raggruppare i campioni in famiglie basate sulla similarità semantica senza conoscenze preliminari o esecuzione dinamica.

2. Metodologia: Il Framework TrapNet

Gli autori propongono TrapNet, un framework innovativo e non supervisionato progettato per l'impronta digitale rapida del malware e l'attribuzione familiare utilizzando l'analisi statica. Il framework opera in quattro fasi distinte:

Fase 1: Preparazione e Preprocessing dei Binari

TrapNet acquisisce un dataset di campioni binari. Impiega inizialmente strumenti come PEiD e UPX per rilevare e decomprimere i binari compressi, mirando a minimizzare l'impatto dei payload nascosti. I campioni che non possono essere decompressi vengono ignorati. I binari decompressi vengono poi disassemblati (utilizzando IDA Pro) per estrarre sequenze di opcode e invocazioni di funzioni.

Fase 2: Generazione di FloatHash (FH)

Per rappresentare semanticamente il malware, TrapNet introduce FloatHash (FH), una tecnica di fuzzy hashing innovativa che comprime la logica di assembly in un vettore denso, breve e a valori reali. Vengono proposti due varianti:

• Variante FH Hashing: Estrae N-grammi dalle sequenze di opcode e funzioni. Per gestire l'alta dimensionalità degli N-grammi (che cresce esponenzialmente), applica Feature Hashing per ridurre la dimensionalità a una dimensione fissa, seguita da Analisi delle Componenti Principali (PCA) per comprimere ulteriormente il vettore preservando le informazioni.
• Variante FH Sequence: Mappa gli opcode e le chiamate di funzione in identificatori numerici univoci per creare una sequenza discreta. La lunghezza della sequenza viene unificata (troncata o riempita) a un parametro fisso $L$ (ad esempio, 20.000). La PCA viene quindi applicata direttamente a questo vettore discreto per generare l'embedding finale.

Entrambe le varianti producono vettori brevi (ad esempio, 100 dimensioni) che catturano la semantica sottostante del malware.

Fase 3: Costruzione della Rete di Similarità

TrapNet costruisce una rete di similarità del malware in cui i nodi rappresentano i campioni e gli archi rappresentano la similarità.

• Calcolo della Similarità: La similarità pairwise tra i vettori FH viene calcolata utilizzando la distanza del coseno. Per garantire la scalabilità, il framework utilizza FALCONN, un algoritmo ad alte prestazioni per i vicini più prossimi approssimati, capace di elaborare milioni di punti in millisecondi.
• Soglia: Un'euristica sistematica determina la soglia di similarità. Calcola la similarità pairwise media per un dato tipo di FH e imposta la soglia di connessione come una percentuale di questa media. Ciò consente di utilizzare un singolo iperparametro per regolare il compromesso tra copertura e purezza.

Fase 4: Rilevamento delle Comunità

La fase finale applica algoritmi all'avanguardia di rilevamento delle comunità nei grafi (in particolare un algoritmo di svelamento rapido basato sull'ottimizzazione della modularità) alla rete di similarità. Ciò identifica comunità dense, che corrispondono a gruppi di malware con semantica simile (famiglie).

3. Contributi Chiave

1. Framework TrapNet: Un framework scalabile e non supervisionato per il clustering del malware che sfrutta l'analisi statica e il rilevamento delle comunità nei grafi per gestire dataset massivi senza conoscenze preliminari.
2. FloatHash (FH): Una tecnica numerica innovativa di fuzzy hashing che genera vettori densi, brevi e a valori reali che rappresentano la semantica del malware. Supporta sia le sequenze di opcode che quelle di invocazione di funzioni ed è progettato per un calcolo rapido della similarità.
3. Scalabilità ed Efficienza: L'integrazione di PCA, feature hashing e ricerca di vicini più prossimi approssimati consente a TrapNet di elaborare dataset su larga scala significativamente più velocemente rispetto alle soluzioni esistenti.
4. Valutazione Completa: Test estensivi sul dataset Microsoft di Kaggle (11.5k campioni) e su un ampio dataset di malware "selvaggio" (250k campioni da 73 famiglie), coprendo sia scenari di solo malware che misti (benigni/malevoli).

4. Risultati Sperimentali

La valutazione dimostra l'efficacia e l'efficienza di TrapNet attraverso diverse dimensioni e configurazioni del dataset:

• Prestazioni su 250k Malware Selvaggi: Utilizzando la variante FH Sequence, TrapNet ha raggruppato 250.000 campioni in 12 minuti, ottenendo una copertura del 48% e una purezza delle comunità dell'82%.
• Confronto con lo Stato dell'Arte: TrapNet è circa 15 volte più veloce di MutantX-S, che ha richiesto 90 minuti per raggruppare 130.000 campioni.
• Confronto tra Varianti:
  • La variante FH Sequence si è dimostrata più stabile e scalabile su tutte le dimensioni del dataset, mantenendo una copertura di ~50% e una purezza di ~80% anche quando il dataset è cresciuto fino a 250k.
  • La variante FH Hashing ha funzionato bene su dataset più piccoli (10k–50k) ma ha mostrato un calo netto della copertura su dataset più grandi (scendendo a <1% per 250k campioni), indicando che è meno scalabile.
• Scenario Misto (Benigni vs. Malevoli): In scenari contenenti file benigni, la variante FH Hashing ha dimostrato un'alta purezza (100%) per i campioni benigni, isolandoli efficacemente, sebbene con una copertura inferiore. La variante Sequence ha mostrato una copertura più alta ma una purezza inferiore per i campioni benigni.
• Sensibilità della Soglia: Il framework consente agli analisti di regolare la percentuale di soglia di similarità per bilanciare copertura e purezza. Ad esempio, sul dataset Microsoft, aumentando la soglia dal 1% al 100%, la copertura per la variante Hashing è aumentata dal 12% all'82%.

5. Significato e Affermazioni

L'articolo afferma che TrapNet fa avanzare lo stato dell'arte nel clustering del malware riducendo il tempo di elaborazione per dataset su larga scala da ore a minuti. Affidandosi esclusivamente all'analisi statica e a tecniche grafiche efficienti, offre una soluzione pratica per il triage quotidiano di centinaia di migliaia di campioni di malware. Gli autori sottolineano che il framework è altamente personalizzabile alle esigenze degli operatori di sicurezza attraverso iperparametri e fornisce decisioni spiegabili tracciando quale contenuto statico (opcode o funzioni) guida la similarità dei campioni. Il lavoro posiziona il rilevamento delle comunità nei grafi come un metodo vitale ed efficiente per l'impronta digitale non supervisionata del malware, capace di gestire la crescita esponenziale delle varianti di malware senza il sovraccarico di risorse dell'analisi dinamica.