Riepilogo Tecnico: Un Framework Basato sulla Decompilazione per il Rilevamento di Malware con Large Language Models

Definizione del Problema

I metodi tradizionali di rilevamento dei malware basati su firme sono sempre meno efficaci contro i nuovi varianti di malware che utilizzano l'offuscamento avanzato, trasformazioni polimorfiche e vettori di attacco inediti. Sebbene l'Intelligenza Artificiale (IA) e i Large Language Models (LLM) abbiano mostrato potenziale nella comprensione del codice e nell'analisi semantica, la loro applicazione diretta al codice eseguibile decompilato per la classificazione dei malware rimane una frontiera poco esplorata. Gli studi precedenti si sono spesso basati su dataset ipotetici o hanno carenze in termini di applicabilità nel mondo reale, e gli approcci industriali esistenti mancano frequentemente di trasparenza metodologica. Inoltre, esiste un bisogno critico di determinare se gli LLM possano sostituire o integrare in modo robusto i software anti-virus tradizionali in ambienti di produzione, specialmente data la rapida evoluzione dei pattern di codifica malevola.

Metodologia

Gli autori propongono una pipeline automatizzata che colma il divario tra l'analisi binaria a basso livello e la comprensione semantica di alto livello, combinando strumenti di reverse engineering con LLM allo stato dell'arte.

1. Pipeline di Decompilazione: Il sistema utilizza il disassemblatore Ghidra per decompilare binari eseguibili Windows in codice C leggibile dall'uomo. Questa rappresentazione intermedia funge da input per gli LLM.
2. Costruzione del Dataset:
   • Dataset di Base (Baseline): Derivato dal libro Malware Data Science (2017), comprendente 240 campioni di malware "Backdoor" e 365 campioni benigni. Un sottoinsieme è stato selezionato per garantire che il testo decompilato non superasse i limiti di token degli LLM.
   • Dataset Contemporaneo: Compilato nel 2025 da Malware Bazaar, contiene 120 nuovi campioni di malware appartenenti a 49 famiglie (es. LummaStealer, XWorm) e 28 driver di sistema benigni. Il set benigno è stato intenzionalmente selezionato per interazioni kernel a basso livello "simili a malware" al fine di creare un confine di classificazione impegnativo.
3. Strategia di Classificazione:
   • Prompt Engineering: È stato progettato un prompt zero-shot standardizzato per istruire l'LLM ad agire come un esperto di cybersecurity, analizzare il codice C alla ricerca di funzioni/API sospette, applicare regole (es. YARA) e restituire un booleano JSON rigoroso (True/False).
   • Valutazione del Modello: Diversi LLM "vanilla" (pre-addestrati) (Llama 3.3 70B, Codestral, Claude 3.7 Sonnet, Gemini 2.5 Pro) sono stati valutati rispetto al dataset di base.
   • Fine-Tuning: Il miglior modello vanilla (Gemini 2.5 Pro) è stato sottoposto a supervised fine-tuning su un sottoinsieme curato di 200 campioni (100 malware più piccoli, 100 benigni) utilizzando Google Cloud Vertex AI per 40 epoche.
4. Protocolli di Sicurezza: Tutte le analisi sono state condotte in macchine virtuali isolate e air-gapped con archiviazione criptata e ripristino tramite snapshot per prevenire la propagazione del malware.

Risultati Chiave

La valutazione ha confrontato gli LLM vanilla, un LLM sottoposto a fine-tuning e un classificatore XGBoost tradizionale addestrato su feature di analisi statica.

• Performance degli LLM Vanilla: Sui dati di base del 2017, gli LLM vanilla hanno mostrato potenziale ma sono stati inconsistenti. Gemini 2.5 Pro è emerso come il candidato più forte con una accuratezza dell'80,1%, superando altri LLM ma rimanendo comunque indietro rispetto al classificatore XGBoost, che ha raggiunto il 98,5% di accuratezza sullo stesso dataset noto.
• Impatto del Fine-Tuning: Quando valutato sul Dataset Contemporaneo del 2025, il modello Gemini 2.5 Pro sottoposto a fine-tuning ha superato significativamente il suo controparte vanilla e il modello XGBoost tradizionale.
  • LLM con Fine-tuning: Ha raggiunto l'83,2% di accuratezza, il 94,4% di precisione e l'84,2% di recall.
  • LLM Vanilla: È sceso al 64,2% di accuratezza sui nuovi dati.
  • Classificatore XGBoost: Le performance sono degradate significativamente al 74,3% di accuratezza, evidenziando la fragilità dei modelli tradizionali di fronte a minacce in evoluzione non presenti nei loro dati di addestramento.
• Generalizzazione: Lo studio dimosta che, mentre gli LLM vanilla faticano con le nuove minacce, un modello specializzato e sottoposto a fine-tuning può generalizzare meglio rispetto ai metodi di analisi statica tradizionale contro le emergenti famiglie di malware.

Significato e Rivendicazioni

Il documento sostiene che l'analisi guidata dalla decompilazione rappresenta una nuova frontiera praticabile per il rilevamento automatizzato delle minacce, a patto che vengano soddisfatte specifiche condizioni:

1. Necessità del Fine-Tuning: Il contributo primario è la dimostrazione che il fine-tuning su dati specifici del dominio e curati è essenziale. I modelli vanilla, nonostante la loro comprensione generale del codice, non sono abbastanza robusti da sostituire i software anti-virus tradizionali senza un addestramento specializzato.
2. Adattabilità vs Fragilità: I risultati evidenziano un compromesso critico: i modelli di machine learning tradizionali (come XGBoost) sono altamente accurati sui dati noti ma fragili contro le nuove minacce, mentre gli LLM sottoposti a fine-tuning offrono una superiore adattabilità ai pattern di codifica e ai comportamenti in evoluzione.
3. Requisito di Evoluzione Continua: Il documento afferma esplicitamente che anche i modelli specializzati degradano quando incontrano malware più recenti. Pertanto, mantenere l'efficacia del modello richiede un fine-tuning continuo con minacce emergenti per tenere il passo con i cambiamenti nei comportamenti malevoli.
4. Implementazione Pratica: Utilizzando campioni di malware autentici e affrontando i vincoli dei token attraverso la selezione dei campioni, il lavoro va oltre gli scenari ipotetici per dimostrare l'applicabilità pratica in contesti rilevanti per la produzione.

Gli autori concludono che, sebbene gli LLM non siano ancora un sostituto completo degli stack di sicurezza esistenti, essi offrono uno strato di rilevamento potente e adattabile che, se combinato con il riaddestramento continuo, può affrontare i limiti dei metodi basati su firme e sull'analisi statica. Il lavoro futuro suggerisce l'integrazione di tracce di esecuzione dinamica e l'esplorazione del pre-addestramento specifico del dominio per migliorare ulteriormente affidabilità e spiegabilità.