FARM: Few-shot Adaptive Malware Family Classification under Concept Drift

1. Il Problema: Deriva Concettuale nella Rilevazione di Malware

Il dominio del malware è intrinsecamente dinamico. I modelli di classificazione statici soffrono di un significativo degrado delle prestazioni quando affrontano il cambiamento concettuale (concept drift), causato dall'evoluzione delle minacce esistenti e dalla comparsa di nuove famiglie di malware.
Il paper distingue due forme principali di deriva nel contesto dei file PE (Portable Executable) di Windows:

• Deriva delle etichette (Label Drift): Emergere di nuove famiglie di malware completamente sconosciute (nuove classi).
• Deriva delle covariate (Covariate Drift): Evoluzione delle caratteristiche e dei comportamenti delle famiglie di malware già note, spesso per eludere i rilevamenti (varianti).

Le sfide principali includono la difficoltà nel distinguere tra campioni nuovi e driftati (i punteggi di probabilità dei modelli sono spesso sovrastimati), la scarsità di dati etichettati per le nuove minacce e l'elevato costo del riaddestramento frequente dei modelli.

2. Metodologia: Il Framework FARM

L'approccio proposto, FARM (Few-shot Adaptive Recognition of Malware), è un framework unificato che integra rilevamento della deriva e adattamento rapido. Il sistema si basa su tre fasi principali:

A. Fase di Addestramento: Triplet Autoencoder

• Input: Vengono utilizzati i feature set EMBER, uno standard nell'analisi statica del malware.
• Architettura: Viene addestrato un Triplet Autoencoder. Questo modello combina un autoencoder (per la ricostruzione dell'input) con una rete di metric learning basata su Triplet Loss.
• Obiettivo: Proiettare i campioni in uno spazio latente discriminativo dove campioni della stessa famiglia sono vicini e quelli di famiglie diverse sono distanti. La funzione di perdita combina la Triplet Loss (per la struttura semantica) e la MSE (Mean Squared Error) per la fedeltà della ricostruzione.

B. Fase di Rilevamento della Deriva (Drift Detection)

• Una volta proiettati nello spazio latente, i campioni vengono analizzati tramite DBSCAN (Density-Based Spatial Clustering of Applications with Noise).
• Vantaggio di DBSCAN: Non richiede di specificare a priori il numero di cluster, permettendo di scoprire sottogruppi densi all'interno delle famiglie note e di identificare i punti di rumore (outlier).
• Soglia Dinamica: Per ogni cluster identificato, viene calcolato un centroide e una soglia di accettazione ($\tau$) basata sulla massima distanza dei campioni interni dal centroide.
• Logica: Se un nuovo campione cade oltre la soglia del cluster più vicino, viene classificato come "driftato" (outlier) e inviato a un buffer di analisi, invece di essere forzatamente assegnato a una classe nota.

C. Fase di Adattamento (Drift Adaptation)

Il framework gestisce i campioni driftati con una strategia a due stadi:

1. Adattamento Few-Shot (Immediato):
   • I campioni nel buffer vengono clusterizzati nuovamente. Quando si forma un gruppo coerente (minimo 10 campioni), viene generato un prototipo (la media degli embedding).
   • Questo prototipo viene aggiunto al classificatore, permettendo di riconoscere la nuova famiglia o variante con pochissimi esempi etichettati, senza riaddestrare l'intero modello.
2. Riaddestramento Completo (A lungo termine):
   • Quando un numero sufficiente di campioni (es. 100) viene accumulato per una nuova famiglia, il modello viene riaddestrato completamente.
   • Questo processo integra stabilmente la nuova famiglia nello spazio latente, aggiornando i centroidi e le soglie per una maggiore robustezza futura.

3. Contributi Chiave

• Framework Unificato: FARM è la prima soluzione proposta per la classificazione di famiglie di malware Windows PE che integra simultaneamente il rilevamento della deriva (sia covariate che label) e l'adattamento few-shot in un'unica pipeline.
• Rilevamento senza Confidenza: Sostituisce l'uso dei punteggi di confidenza (spesso inaffidabili) con un approccio basato sulla distanza nello spazio metrico e sul clustering DBSCAN per identificare le anomalie.
• Adattamento Efficiente: Dimostra che è possibile riconoscere nuove famiglie di malware con un numero minimo di esempi etichettati (few-shot), riducendo la dipendenza da etichettature massive e costose.
• Validazione Temporale: Il sistema è stato testato su un dataset con timestamp (BenchMFC), simulando scenari realistici di evoluzione temporale delle minacce.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti sul dataset BenchMFC, utilizzando un subset bilanciato di 16 famiglie di malware.

• Rilevamento della Deriva:

  • Label Drift (Famiglie Nuove): FARM ha identificato correttamente l'84% dei campioni di famiglie mai viste come "driftati".
  • Covariate Drift (Varianti): Il sistema ha rilevato la deriva nelle famiglie evolute con un tasso di accuratezza dell'81,4%.
  • Confronto: FARM ha superato i metodi basati su CADE (loss contrastiva) e varianti con soglie percentuali fisse, mostrando un miglior equilibrio tra precisione e recall.

• Adattamento e Prestazioni:

  • Few-Shot: Utilizzando solo pochi esempi, FARM ha raggiunto un F1-score medio di 0,85 sulle famiglie non viste.
  • Riaddestramento: Dopo il riaddestramento completo con dati accumulati, l'F1-score è salito a 0,94.
  • Miglioramento: L'adattamento ha portato a un miglioramento medio del 5,6% nell'F1-score per le famiglie in evoluzione (covariate drift), con picchi superiori al 19% per famiglie come upatre.
  • Generalizzazione: In scenari N-way K-shot, l'accuratezza è aumentata significativamente passando da 1-shot a 5-shot, stabilizzandosi dopo 10 campioni per classe.

5. Significato e Implicazioni

Il lavoro di FARM è significativo perché affronta il problema della "obsolescenza" dei modelli di sicurezza in ambienti dinamici.

• Praticità: Offre un meccanismo operativo per aggiornare i rilevatori di malware senza interrompere il servizio o richiedere enormi dataset etichettati.
• Robustezza: L'uso di metric learning e clustering denso rende il sistema più resiliente alle variazioni comportamentali sottili rispetto ai classificatori tradizionali basati su softmax.
• Limiti e Futuro: Il paper riconosce che la sensibilità ai parametri di DBSCAN e l'overlap comportamentale (es. il malware vobfus che assomiglia a famiglie note) possono influenzare i risultati. Il lavoro futuro punta a gestire malware "packed" (offuscati) e a migliorare l'interpretabilità delle decisioni di deriva.

In sintesi, FARM rappresenta un passo avanti verso sistemi di cybersecurity adattivi, capaci di evolversi insieme alle minacce che devono rilevare.