Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

Sintesi Tecnica: Integrazione di Dati Immagine e Testuali di APK per un Rilevamento delle Minacce Migliorato

Problematica
La proliferazione di sofisticati malware Android zero-day richiede meccanismi di rilevamento robusti che vadano oltre l'analisi statica e dinamica tradizionale, spesso vulnerabili all'offuscamento. Sebbene ricerche recenti abbiano dimostrato l'efficacia della conversione del bytecode di Android Application Package (APK) in rappresentazioni d'immagine per il rilevamento basato su deep learning, rimangono lacune significative. Gli studi esistenti spesso non valutano sistematicamente come gli attributi dell'immagine — specificamente il formato colore (RGB vs scala di grigi) e la risoluzione (ad es. 128x128, 256x256, 512x512) — influenzino le prestazioni di rilevamento. Inoltre, gli approcci basati su immagini attuali spesso trascurano preziosi dati testuali incorporati negli APK, come permessi, metadati e file manifest. Il potenziale dell'integrazione di queste caratteristiche testuali con i dati d'immagine tramite deep learning multimodale per migliorare l'accuratezza del rilevamento rimane ampiamente inesplorato.

Metodologia
Gli autori propongono un framework di deep learning multimodale per affrontare queste lacune attraverso due fasi investigative primarie:

1. Valutazione degli Attributi dell'Immagine (RQ1):

   • Raccolta Dati: Lo studio ha utilizzato 4.303 malware APK e 4.039 APK benigni dai dataset CIC-AndMal2017 e CICMalDroid 2020.
   • Generazione Immagini: I file APK sono stati decompilati e convertiti in flussi binari, poi trasformati in due tipi di immagini: Scala di Grigi e RGB. Questi sono stati generati in tre risoluzioni: 128x128, 256x256 e 512x512.
   • Addestramento del Modello: Otto architetture di Reti Neurali Convoluzionali (CNN) pre-addestrate sono state addestrate e testate su questi dataset: VGG-16, VGG-19, ResNet-50, ResNet-101, ResNet-152, MobileNet-V2, DenseNet-169 ed EfficientNet-B4.
   • Metriche: Le prestazioni sono state valutate utilizzando accuratezza, precisione, recall, F1-score e Area Under the ROC Curve (AUC-ROC).

2. Integrazione Multimodale (RQ2):

   • Estrazione e Annotazione del Testo: Caratteristiche testuali (permessi, risorse, dati del manifest) sono state estratte dagli APK. Un Large Language Model (LLM), nello specifico LLaMA-2, è stato impiegato per generare annotazioni basate su prompt che riassumevano queste caratteristiche come "malicious" (malizioso) o "benign" (benigno).
   • Fusione Multimodale: Le annotazioni testuali e le corrispondenti immagini APK sono state integrate in un dataset multimodale.
   • Valutazione del Modello: Il modello CLIP (Contrastive Language-Image Pre-training) è stato utilizzato per classificare i dati combinati immagine-testo in modalità zero-shot. Questo è stato confrontato con i modelli CNN standalone e con un baseline di Rete Neurale Quantistica (QNN).

Contributi Chiave

• Analisi Sistematica dell'Immagine: Il documento fornisce una valutazione completa degli attributi dell'immagine attraverso otto architetture CNN, identificando le configurazioni ottimali per diversi modelli.
• Nuovo Framework Multimodale: Gli autori hanno sviluppato un framework che combina le immagini degli APK con le annotazioni testuali generate da LLaMA-2, utilizzando il modello CLIP per fondere le caratteristiche visive e semantiche.
• Contributo al Dataset: È stato creato un dataset multimodale limitato comprendente diverse immagini attribuite e le loro corrispondenti annotazioni testuali per supportare ulteriori ricerche in questo dominio.

Risultati

• Rilevamento Basato su Immagini (RQ1):

  • Superiorità RGB ad Alta Risoluzione: Per le architetture più profonde (ResNet-50, ResNet-101, ResNet-152, EfficientNet-B4), le immagini RGB a risoluzione 512x512 hanno prodotto le prestazioni più elevate, con ResNet-101 che ha raggiunto il 97% di accuratezza e un AUC-ROC di 0,9919.
  • Efficienza Bilanciata: La configurazione RGB 256x256 ha offerto un forte compromesso tra costo computazionale e prestazioni, in particolare per ResNet-152 e DenseNet-169.
  • Ottimizzazioni Specifiche del Modello: VGG-16 ha performato meglio con la scala di grigi a bassa risoluzione (128x128), mentre MobileNet-V2 ha raggiunto l'accuratezza massima (96%) con immagini 512x512 sia in RGB che in scala di grigi.
  • Tendenza Generale: Le immagini RGB hanno generalmente superato le immagini in scala di grigi per i modelli complessi, mentre la scala di grigi è stata più efficace per modelli più semplici o risoluzioni inferiori per evitare l'overfitting.

• Prestazioni Multimodali (RQ2):

  • Successo Limitato di CLIP: L'approccio multimodale utilizzando CLIP ha performato scarsiamente, raggiungendo solo il 50% di accuratezza (equivalente a un caso casuale in un contesto di classificazione binaria).
  • Fallimento nel Rilevamento dei Malware: Il modello CLIP non è riuscito a rilevare alcun campione di malware (Recall = 0,00 per il malware) e ha ottenuto un macro F1-score di 0,33.
  • Confronto: I modelli standalone basati su immagini, in particolare ResNet-152 (71% di accuratezza nel set di test specifico utilizzato per il confronto), hanno superato significativamente l'approccio CLIP multimodale. Gli autori attribuiscono ciò alle dimensioni limitate del dataset multimodale (solo 34 coppie immagine-testo).

Significatività e Rivendicazioni
Il documento sostiene che, sebbene l'integrazione multimodale sia una direzione promettente, la sua attuale implementazione utilizzando CLIP e dataset di piccole dimensioni non supera ancora le CNN ottimizzate basate solo sulle immagini per il rilevamento di malware Android. Lo studio sottolinea l'importanza critica di valutare sistematicamente gli attributi dell'immagine (risoluzione e spazio colore) per massimizzare l'efficacia del rilevamento. Gli autori concludono che le immagini RGB ad alta risoluzione combinate con CNN profonde (come ResNet-152 e EfficientNet-B4) offrono attualmente la soluzione più efficace. Essi affermano con modestia che l'approccio multimodale richiede dataset più grandi e diversificati e tecniche di fusione avanzate (oltre lo zero-shot CLIP) per realizzare il proprio potenziale nel migliorare le capacità di rilevamento delle minacce.