💻 computer science

FOCA: Multimodal Malware Classification via Hyperbolic Cross-Attention

Questo articolo introduce FOCA, un nuovo framework di classificazione di malware multimodale che trasforma i binari in rappresentazioni audio e visive e sfrutta lo spazio iperbolico con meccanismi di cross-attention per catturare le relazioni gerarchiche intrinseche, raggiungendo prestazioni allo stato dell'arte su dataset benchmark.

Autori originali: Nitin Choudhury, Bikrant Bikram Pratap Maurya, Orchid Chetia Phukan, Arun Balaji Buduru

Pubblicato 2026-01-27

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Nitin Choudhury, Bikrant Bikram Pratap Maurya, Orchid Chetia Phukan, Arun Balaji Buduru

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di cercare di identificare un tipo specifico di criminale (un "malware" o virus) che si nasconde all'interno di un file informatico. Tradizionalmente, gli esperti di sicurezza hanno esaminato questi file come un detective che legge un elenco di ingredienti (il codice grezzo). Ma gli hacker sono astuti; spesso mascherano i loro ingredienti in modo che il detective non riesca a riconoscerli.

I ricercatori in questo articolo, FOCA, hanno deciso di provare un approccio diverso. Invece di limitarsi a leggere il codice, hanno trasformato il file in due diversi tipi di esperienze sensoriali: una canzone (audio) e un quadro (visivo).

Ecco come funziona il loro sistema, spiegato in modo semplice:

1. Trasformare il codice in sensi

Pensa a un file informatico come a una lunga stringa di numeri.

L'approccio audio: Hanno trasformato questi numeri in onde sonore. È come ascoltare il file. Alcuni schemi potrebbero suonare come un ritmo costante di batteria, mentre altri come statica caotica. Questo aiuta a catturare indizi minuscoli e dettagliati a livello di "byte".
L'approccio visivo: Hanno trasformato gli stessi numeri in un'immagine. Immagina di prendere i numeri e dipingerli in una griglia di colori. Questo crea una "mappa" che mostra la struttura e la forma generale del file.

2. Il problema della miscelazione

Di solito, quando si prova a combinare una canzone e un quadro per risolvere un puzzle, li si mescola semplicemente insieme. I ricercatori si sono resi conto che questo è come cercare di mescolare olio e acqua; non si fondono bene perché hanno "forme" o strutture diverse.
Nel mondo informatico, la maggior parte dei sistemi utilizza lo spazio Euclideo (pensa a una mappa piatta e con linee dritte). Su una mappa piatta, è difficile mostrare come una cosa sia "dentro" o "sopra" un'altra in una gerarchia complessa. Ma il malware ha una gerarchia nascosta: i piccoli dettagli sonori sono la base, e i grandi schemi visivi sono il tetto.

3. La soluzione: Una mappa curva (Spazio Iperbolico)

Per risolvere il problema della miscelazione, FOCA utilizza un trucco matematico speciale chiamato Spazio Iperbolico.

L'analogia: Immagina una mappa piatta (Euclidea) rispetto a un imbuto o una barriera corallina (Iperbolica). Una mappa piatta si affolla rapidamente se provi a disegnare un albero con molti rami. Un imbuto, invece, si allarga man mano che vai verso l'esterno, lasciando spazio sufficiente affinché ogni ramo possa stare comodamente senza toccare gli altri.
Il vantaggio: Questo spazio "curvo" è perfetto per mostrare la relazione tra l'audio (i piccoli dettagli) e il visivo (la grande struttura). Rispetta l'albero genealogico naturale dei dati.

4. Il meccanismo di "Cross-Attention"

Una volta che i dati sono sulla mappa curva, FOCA utilizza un meccanio di Iperbolic Cross-Attention.

L'analogia: Immagina di avere un detective che ascolta una canzone e guarda una foto. In un sistema normale, potrebbero urlare l'uno sull'altro. In FOCA, hanno un "traduttore" speciale che li aiuta a concentrarsi esattamente sulle parti giuste della canzone che corrispondono alle parti giuste della foto.
Questo traduttore assicura che gli indizi audio e visivi si allineino perfettamente, anche mentre si trovano su quella mappa curva e a forma di imbuto.

5. I risultati

I ricercatori hanno testato questo sistema su due enormi collezioni di file malware noti (chiamate Mal-Net e CICMalDroid2020).

L'esito: FOCA è stato più bravo a individuare i file dannosi rispetto a:
- Sistemi che solo ascoltavano l'audio.
- Sistemi che solo guardavano le immagini.
- Sistemi che cercavano di mescolare audio e immagini usando i vecchi metodi della mappa "piatta".
In effetti, è diventato il nuovo standard di riferimento (State-of-the-Art) per questi test specifici.

Riassunto

In breve, FOCA è un nuovo modo per catturare i virus informatici. Invece di leggere solo il codice, trasforma il codice in musica e arte. Poi utilizza una speciale mappa matematica curva per aiutare la musica e l'arte a capirsi perfettamente, portando a una guardia di sicurezza molto più intelligente e accurata di quelle che abbiamo avuto finora.

Nota: L'articolo afferma che questo metodo funziona specificamente per la classificazione del malware su questi due dataset. Non sostiene di funzionare su altri tipi di dati o in altri scenari del mondo reale al di fuori di questo contesto specifico.

Sintesi Tecnica: FOCA – Classificazione di Malware Multimodale tramite Cross-Attention Iperbolica

Definizione del Problema
La classificazione dei malware affronta una persistente sfida "gatto e topo", in cui gli attaccanti utilizzano l'offuscamento e il polimorfismo per eludere le tradizionali difese basate su firme. Sebbene gli approcci di machine learning e deep learning abbiano migliorato il rilevamento, essi spesso faticano ad affrontare le minacce in continua evoluzione. La ricerca recente ha esplorato la conversione dei file binari grezzi in modalità alternative, come immagini (visive) e audio (forme d'onda), per sfruttare modelli pre-addestrati. Tuttavia, gli attuali metodi di fusione multimodale si affidano tipicamente allo spazio euclideo, che non riesce a catturare la relazione gerarchica intrinseca tra le diverse modalità di dati. Nello specifico, mentre le rappresentazioni audio possono codificare caratteristiche a livello di byte più fini, le rappresentazioni visive catturano pattern strutturali di livello superiore, le attuali strategie di fusione (ad esempio, semplice concatenazione o cross-attention standard) non modellano esplicitamente questa gerarchia, limitandone il potenziale per una classificazione robusta.

Metodologia
Gli autori propongono FOCA (FusiOn with Hyperbolic Cross-Attention), un framework progettato per fondere le modalità audio e visiva all'interno di uno spazio iperbolico per modellare meglio le loro dipendenze gerarchiche. La metodologia si articola nelle seguenti fasi:

Trasformazione Binary-to-X:
- Modalità Audio: Le sequenze di byte grezzi dai file APK-dex vengono mappate in campioni di forma d'onda a serie temporali continue (file .wav).
- Modalità Visiva: I byte grezzi sono trattati come interi senza segno (0–255), concatenati in array 1D e rimodellati in matrici 2D dove header, dati e sezioni rimanenti mappano i canali RGB, creando rappresentazioni d'immagine.
Estrazione delle Rappresentazioni:
- Audio: Modelli pre-addestrati (PTM) allo stato dell'arte (SOTA) — Wav2vec2, WavLM e HuBERT — vengono utilizzati per estrarre embedding a 768 dimensioni tramite mean pooling dai loro ultimi strati nascosti.
- Visiva: PTM visivi SOTA — ResNet50, VGG19 e ViT — vengono utilizzati per estrarre embedding (2048, 4096 o 768 dimensioni) tramite average pooling.
- Elaborazione Unimodale: Gli embedding estratti passano attraverso un'architettura basata su CNN (due strati 1D-CNN con max pooling) prima di entrare nel modulo di fusione.
Fusione Iperbolica (Core di FOCA):
- Proiezione Iperbolica: Le caratteristiche euclidee sono proiettate nella palla di Poincaré ( $B^d$ ) utilizzando la mappa esponenziale all'origine.
- Hyperbolic Cross-Attention (HCA): Un meccanismo innovativo allinea le modalità audio e visiva. A differenza della standard attention, la HCA calcola i pesi di attenzione utilizzando la distanza iperbolica ( $d_H$ ) nella palla di Poincaré, garantendo un allineamento consapevole della curvatura di query, key e value.
- Möbius Fusion: I valori attenuati vengono aggregati utilizzando l'addizione di Möbius ( $\oplus_H$ ) e la moltiplicazione scalare ( $\otimes_H$ ), operazioni specifiche della geometria iperbolica. La rappresentazione finale fusa viene mappata nuovamente nello spazio euclideo tramite la mappa logaritmica per la classificazione.

Contributi Chiave
L'articolo rivendica tre contributi primari:

Prima Esplorazione della Gerarchia: È il primo studio che esplora e modella esplicitamente la relazione gerarchica tra le modalità audio (fini) e visive (strutturali) per la classificazione dei malware.
Nuovo Framework (FOCA): La proposta di un framework multimodale che sfrutta lo spazio iperbolico per fondere queste modalità, introducendo un meccanismo di Hyperbolic Cross-Attention e uno strato di fusione basato sull'addizione di Möbius.
Superiorità Empirica: Esperimenti estesi dimostrano che FOCA supera costantemente i modelli unimodali e le baseline multimodali basate su spazi euclidei (inclusa la semplice concatenazione e la cross-attention standard), stabilendo nuove prestazioni allo stato dell'arte (SOTA).

Risultati Sperimentali
Il framework è stato valutato su due dataset benchmark: Mal-Net (filtrato a 8.000 campioni su 10 classi) e CICMalDroid2020 (17.341 campioni su 5 classi).

Performance: FOCA ha ottenuto l'accuratezza e i punteggi macro-F1 più elevati in tutte le configurazioni testate.
- Su CICMalDroid2020, la migliore configurazione (HuBERT $\oplus_H$ ViT) ha raggiunto il 99,10% di accuratezza e il 98,85% di macro-F1, superando il precedente SOTA (Yang et al.) che riportava il 98,52% di accuratezza.
- Su Mal-Net, la migliore configurazione ha raggiunto l'82,84% di accuratezza, superando il precedente SOTA (Samaneh et al. con il 41,73% e Scott et al. con il 70,12%).
Analisi Comparativa:
- FOCA ha costantemente superato le baseline di semplice concatenazione e di cross-attention euclidea.
- Le visualizzazioni t-SNE hanno indicato che FOCA produce cluster più distinti e compatti rispetto alla cross-attention euclidea, suggerendo una migliore separazione delle famiglie di malware.
- Tra le baseline unimodali, le rappresentazioni audio hanno generalmente superato quelle visive, sebbene nessun singolo modello audio abbia dominato in modo assoluto su entrambi i dataset.

Significatività e Rivendicazioni
Gli autori posizionano questo lavoro come un passo pionieristico nella classificazione dei malware, unendo la modellazione delle relazioni gerarchiche con approcci consapevoli della geometria. Affermano che FOCA è il primo studio a sfruttare lo spazio iperbolico per la fusione di rappresentazioni multimodali nella classificazione dei malware. Muovendosi oltre i vincoli euclidei, il framework offre un vantaggio principato nell'allineare modalità con diversi livelli di astrazione. Il lavoro stabilisce la fusione multimodale iperbolica come una nuova direzione promettente per il settore, fornendo una soluzione robusta che si adatta alla natura evolutiva delle minacce malware. Il codice e i modelli addestrati sono resi pubblicamente disponibili per supportare la riproducibilità.