Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

Sintesi Tecnica: Rilevamento e Spiegazione dell'Evoluzione delle Famiglie di Malware tramite l'Analisi del Drift Basata su Regole

Problematica
Il rilevamento e la classificazione dei malware sono compiti critici ma sempre più difficili a causa della continua evoluzione del codice malevolo. Gli attaccanti modificano costantemente i malware per eludere il rilevamento, introducendo il concept drift (deriva concettuale)—un fenomeno in cui le proprietà statistiche delle caratteristiche del malware cambano nel tempo. Questo drift mina i modelli di machine learning statici, riducendone l'efficacia. Inoltre, sebbene i modelli "black-box" possano raggiungere un'elevata accuratezza, mancano di interpretabilità, offrendo scarsi approfondimenti sul perché un campione sia classificato come malevolo o su come si sia evoluto. Questa opacità ostacola la fiducia degli analisti e la capacità di derivare intelligence azionabile per la risposta agli incidenti. I metodi esistenti di rilevamento del drift spesso si affidano a modelli complessi e opachi (ad esempio, reti neurali profonde, metodi ensemble) o a framework statistici che non riescono a spiegare il drift a livello di caratteristica (feature).

Metodologia
Gli autori propongono un framework interpretable per rilevare e spiegare il concept drift nelle famiglie di malware utilizzando un classificatore basato su regole. L'approccio si compone di tre fasi primarie:

1. Generazione delle Regole (Originale vs. Evoluta):

   • Famiglia Originale: Un classificatore basato su regole (nello specifico RIPPER, implementato tramite la libreria wittgenstein) viene addestrato su un set rappresentativo di campioni di malware originali per generare un insieme di regole logiche leggibili dallamente umano ($R_{orig}$). Queste regole descrivono le caratteristiche strutturali e comportamentali della famiglia.
   • Famiglia Evoluta: Varianti avversarie del malware vengono generate utilizzando MAB-malware, un generatore avversario basato sull'apprendimento per rinforzo. Questo strumento impiega un agente multi-armed bandit per applicare modifiche binarie minime (ad esempio, l'aggiunta di dati benigni, lo azzeramento di campi, trasformazioni del codice) per eludere un classificatore target (EMBER). Un secondo set di regole ($R_{adv}$) viene generato da questi campioni evoluti utilizzando lo stesso processo RIPPER.

2. Quantificazione del Drift:

   • Il metodo confronta i set di regole $R_{orig}$ e $R_{adv}$ utilizzando una distanza di Hamming normalizzata.
   • Le regole vengono convertite in vettori binari in cui un '1' indica che un campione è rilevato dalla regola e '0' altrimenti.
   • La metrica di distanza $d(x,y)$ calcola la proporzione di posizioni in cui i vettori binari differiscono, quantificando il disaccordo tra i set di regole. Una distanza significativa indica un concept drift.

3. Rilevamento e Spiegazione del Drift:

   • Regola Decisionale: Viene stabilita una soglia che è la media aritmetica della distanza media tra i set di regole derivanti dallo stesso set originale (varianza intra-familiare) e la distanza tra le famiglie originali e quelle avversarie. Se la distanza tra le nuove regole e le regole storiche supera questa soglia, il concept drift viene predetto.
   • Interpretabilità: Poiché il classificatore produce condizioni logiche esplicite (ad esempio, f3=72 AND f1 in [10,48]), il metodo identifica intrinsecamente quali specifiche caratteristiche e valori sono cambiati tra i campioni originali ed evoluti, fornendo una spiegazione diretta delle tattiche evolutive del malware.

Configurazione Sperimentale
Il framework è stato validato su sei famiglie di malware: Agensla, DCRat, Makoob, Mokes, Strab e Taskun.

• Dati: I campioni sono stati estratti dal dataset RawMal-TF.
• Caratteristiche (Features): Le caratteristiche statiche sono state estratte da file Windows Portable Executable (PE) utilizzando la libreria LIEF, includendo metadati, informazioni sull'header, statistiche delle sezioni, funzioni importate/esportate e distribuzioni a livello di byte.
• Generazione Avversaria: MAB-malware è stato utilizzato per creare campioni avversari che hanno eluso con successo il classificatore EMBER.
• Dimensioni: Gli esperimenti sono stati condotti su dimensionalità di vettori di caratteristiche di 3, 5, 10, 15, 25, 50, 75 e 100.

Risultati Chiave

• Accuratezza del Rilevamento: Il metodo proposto ha raggiunto un'accuratezza complessiva di rilevamento del concept drift del 92,08% su tutte le sei famiglie e le dimensionalità delle caratteristiche.
• Performance Specifiche per Famiglia:
  • Agensla e Mokes hanno raggiunto il 100% di accuratezza in tutte le dimensionalità.
  • Taskun ha registrato un singolo errore (su 80 esperimenti) nell'impostazione a 100 dimensioni.
  • DCRat ha mostrato il tasso di errore più elevato (22,5% complessivo), sebbene abbia ottenuto lo 0% di errore nell'impostazione a 25 dimensioni.
• Magnitudo del Drift: Lo studio ha dimostrato che la metrica di distanza quantifica efficacemente l'entità del drift. Per la famiglia Mokes, la distanza tra i set di regole originali e avversari era fino a 15 volte superiore alla distanza tra i set di regole derivati da diversi subset della stessa famiglia originale.
• Interpretabilità: L'approccio basato su regole ha identificato con successo i cambiamenti specifici delle caratteristiche responsabili dell'evoluzione, distinguendosi dai metodi di rilevamento del drift "black-box".

Significatività e Contributi
Il documento sostiene che il suo contributo principale sia colmare il divario tra l'efficacia del rilevamento del drift e l'analisi forense pratica, dando priorità all'interpretabilità. A differenza degli approcci statistici o di deep learning esistenti che operano come scatole nere, questo framework:

1. Enfatizza Esplicitamente l'Interpretabilità: Sfruttando classificatori basati su regole, fornisce descrizioni leggibili dall'uomo sia del malware originale che di quello evoluto.
2. Permette la Spiegazione a Livello di Caratteristica: Identifica le condizioni e le caratteristiche specifiche responsabili del drift, consentendo agli analisti di capire come gli autori di malware stiano aggirando il rilevamento (ad esempio, cambiamenti specifici nell'uso delle API o nei campi dell'header).
3. Quantifica l'Evoluzione: Offre una misura rigorosa e quantitativa del drift, spiegando simultaneamente i cambiamenti comportamentali sottostanti.

Gli autori posizionano questo lavoro come uno dei primi studi ad applicare un framework interpretabile basato su regole specificamente per il rilevamento del concept drift nell'analisi del malware, con l'obiettivo di supportare sia i sistemi di rilevamento che gli sforzi di analisi delle minacce. Si nota che il lavoro futuro potrebbe estendere questo framework utilizzando alberi di decisione ed esplorando diverse metriche di distanza.