Riepilogo Tecnico: Rilevamento di Malware Trasparente con Spiegabilità Granulare del Flusso di Assembly tramite Reti Neurali a Grafo

Problema

Man mano che il malware diventa sempre più sofisticato ed evasivo, i sistemi di rilevamento devono evolversi per essere altrettanto intelligenti e trasparenti. Sebbene le Reti Neurali a Grafo (GNN) applicate ai Grafi di Flusso di Controllo (CFG) abbiano mostrato potenziale nel rilevamento dei malware, esse soffrono di una mancanza di spiegabilità intrinseca. I metodi di spiegabilità basati su GNN applicati ai CFG affrontano un limite critico: i nodi del CFG rappresentano "blocchi di base" (sequenze di istruzioni non ramificate), il che significa che le singole istruzioni di assembly all'interno di tali blocchi risultano oscurate. Di conseguenza, le GNN non possono fornire spiegazioni granulari a livello di istruzione, lasciando ambiguità su quali specifiche istruzioni guidino una predizione malevola. Inoltre, la scala massiccia degli Assembly Flow Graphs (AFG), che rappresentano ogni istruzione come un nodo, rende l'applicazione diretta delle GNN computazionalmente intrattabile per il pre-processing, l'embedding e l'addestramento.

Metodologia

Gli autori propongono un framework innovativo centrato sull'Assembly Flow Graph (AFG) e su un approccio di Meta-Coarsening (meta-raggruppamento) per abilitare una spiegabilità granulare mantenendo al contempo la fattibilità computazionale.

1. Costruzione del Grafo

• Assembly Flow Graph (AFG): A differenza dei tradizionali CFG dove i nodi sono blocchi di base, l'AFG sostituisce ogni nodo del CFG con una lista singolarmente concatenata delle sue istruzioni di assembly sequenziali costituenti. Gli archi vengono ricollegati per connettere la testa e la coda di queste liste di istruzioni, creando un grafo in cui ogni nodo rappresenta una singola istruzione.
• Codifica delle Istruzioni: Le istruzioni sono codificate utilizzando un vettore di 1.103 bit derivato dalla libreria Capstone, che cattura opcode, prefissi e vari flag.

2. Approccio di Meta-Coarsening

Per affrontare il costo computazionale dei grandi AFG, gli autori introducono una pipeline di "Meta-Coarsening" a due stadi:

• Fase 1: Coarsening del CFG (C-CFG): Invece di raggruppare direttamente il massiccio AFG, gli autori raggruppano il CFG sottostante (la "meta-struttura"). Questo è computazionalmente trattabile e preserva la somiglianza strutturale con l'AFG. Una GNN viene addestrata su questi Coarsened CFGs (C-CFGs), e un esplicatore identifica i sottografi importanti a questo livello.
• Fase 2: Backtracking e Addestramento B-AFG: I sottografi importanti identificati nel C-CFG vengono "riportati indietro" (backtracked) attraverso la gerarchia verso l'AFG originale, creando un dataset Backtracked AFG (B-AFG). Questo B-AFG contiene solo i nodi specifici a livello di istruzione rilevanti per la spiegazione. Una seconda GNN separata viene addestrata su questi B-AFGs per generare spiegazioni finali granulari a livello di istruzione di assembly.

3. Metriche di Valutazione

Il paper introduce e utilizza diverse metriche per quantificare la qualità della spiegazione:

• Punteggi di Fedeltà ($fid^+$ e $fid^-$): Misurano la necessità (rimuovere il sottografo cambia la predizione) e la sufficienza (mantenere solo il sottografo mantiene la predizione).
• Punteggio di Caratterizzazione ($\lambda$): Una media armonica pesata dei punteggi di fedeltà, adattata per misurare l'accordo tra i livelli C-CFG e B-AFG.
• Indicatore di punteggio $\beta$: Una metrica innovativa per rilevare l'ambiguità. Restituisce 0 se le spiegazioni sono binarie (chiare) e positivo se sono non-binarie (ambigue), evidenziando specificamente la differenza tra le spiegazioni a livello di blocco di base (ambigue) e quelle a livello di istruzione (non ambigue).

Contributi Chiave

1. Assembly Flow Graph (AFx): La proposta di una nuova rappresentazione di grafo che cattura l'intero flusso di istruzioni assembly di un eseguibile binario, consentendo la granularità a livello di istruzione.
2. Meta-Coarsening: Un approccio innovativo per migliorare la trattabilità computazionale raggruppando il CFG per approssimare il coarsening dell'AFG, permettendo l'addestramento delle GNN su dati su larga scala pur mantenendo la capacità di tornare indietro al livello di istruzione.
3. Spiegabilità Granulare: La prima dimostrazione di rilevamento di malware basato su GNN che fornisce spiegazioni al livello della specifica istruzione di assembly, risolvendo l'ambiguità inerente ai CFG a livello di blocco di base.
4. Nuove Metriche: La definizione del punteggio indicatore $\beta$ per misurare empiricamente la granularità della spiegazione e l'adattamento del punteggio $\lambda$ per valutare la coerenza della spiegazione tra i livelli.
5. Controllo degli Iperparametri: L'identificazione di iperparametri (coefficiente di coarsening $r$ e policy di selezione $\epsilon$) che consentono agli utenti di bilanciare i requisiti computazionali con l'espressività della spiegazione.

Risultati Sperimentali

L'approccio è stato valutato utilizzando il dataset CIC-DGG-2025, contenente binari Windows PE x86.

• Performance di Inferenza: L'approccio Meta-Coarsening ha ottenuto un'accuratezza competitiva o superiore rispetto ai baseline. Nello specifico, il metodo di coarsening Kron con un coefficiento $r=0.25$ e Variation Edges con $r=0.75$ hanno prodotto i risultati migliori (fino all'89,8% di accuratezza media), suggerendo che un coarsening moderato può agire come un regolarizzatore, migliorando la generalizzazione.
• Spiegabilità:
  • Il punteggio $\lambda$ è stato più alto (0,713) per Kron con $r=0,25$, indicando un forte accordo tra le spiegazioni grossolane e quelle granulari.
  • Analisi della Fedeltà: Il livello C-CFG ha mostrato un'alta necessità ($fid^+$), il che significa che rimuovere i sottografi identificati causava l'errata classificazione. Il livello B-AFG ha mostrato un'alta sufficienza ($fid^-$), il che significa che i sottografi di istruzioni selezionati da soli erano sufficienti per mantenere la corretta predizione.
  • Granularità: L'indicatore $\beta$ è 1 per tutti i livelli (C-)CFG (indicando ambiguità) e 0 per tutti i livelli B-AFG (indicando spiegazioni a livello di istruzione non ambigue e binarie).
• Differenze di Classe: Lo studio ha osservato che i campioni benigni erano generalmente più spiegabili rispetto ai campioni malevoli. Le classi malevole mostravano punteggi di caratterizzazione inferiori, suggerendo che sono più difficili da spiegare o predire in modo coerente.

Significato e Rivendicazioni

Il paper sostiene di essere il primo a considerare la spiegabilità granulare nel rilevamento dei malware utilizzando le GNN a livello di istruzione di assembly. Gli autori sottolineano che, sebbene lavori precedenti avessero utilizzato CFG o grafi di opcode, non potevano fornire approfondimenti non ambigui a livello di istruzione a causa dell'aggregazione delle istruzioni in blocchi di base.

La significanza di questo lavoro risiede nella sua capacità di:

• Fornire sistemi di rilevamento trasparenti dove i difensori possono capire esattamente quali istruzioni contribuiscono a una classificazione malevola.
• Superare le barriere computazionali dell'applicazione di GNN a grafi massicci a livello di istruzione tramite la strategia di Meta-Coarsening.
• Offrire un framework per controllare il compromesso tra dimensione del grafo e dettaglio della spiegazione attraverso gli iperparametri.

Gli autori concludono che il loro approccio fornisce con successo spiegazioni a livello di assembly, servendo da fondamento per il lavoro futuro nella spiegabilità del rilevamento di malware su larga scala e assistendo i difensori nella caratterizzazione del comportamento dei malware. Riconoscono i limiti riguardanti la generalizzazione ad altri formati binari e il potenziale di evasione avversaria, notando che il lavoro futuro potrebbe esplorare l'addestramento avversario o i metodi di generazione statica per mitigare questi problemi.