LLM4CodeRE: Generative AI for Code Decompilation Analysis and Reverse Engineering

1. Il Problema

L'analisi e la decompilazione del codice malevolo (malware) rappresentano una sfida fondamentale nella cybersecurity. I moderni malware utilizzano tecniche sofisticate di offuscamento, packing e polimorfismo che rendono estremamente difficile l'analisi automatica.

• Limiti degli approcci tradizionali: Le tecniche di analisi statica e dinamica attuali sono laboriose, fragili di fronte all'offuscamento e difficili da scalare. Gli strumenti di decompilazione esistenti spesso falliscono con simboli rimossi, flussi di controllo appiattiti e risoluzioni dinamiche delle API.
• Limiti degli attuali LLM: Sebbene i Large Language Models (LLM) abbiano mostrato potenziale nella traduzione del codice, la maggior parte di essi è pre-addestrata su codice benigno open-source. Trattano il malware come dati "fuori distribuzione" (out-of-distribution), fallendo nel catturare pattern specifici di offuscamento e anti-analisi, il che ne riduce l'affidabilità in contesti di sicurezza.
• Mancanza di valutazione funzionale: Le ricerche precedenti si concentrano spesso su metriche di similarità statica, trascurando se il codice generato sia effettivamente compilabile ed eseguibile, un requisito critico per l'analisi reale.

2. Metodologia

Gli autori propongono LLM4CodeRE, un framework adattivo di dominio per l'ingegneria inversa bidirezionale del codice. L'architettura si basa su tre livelli gerarchici di adattamento:

A. Pre-addestramento CLM Consapevole del Malware

Il cuore del framework è un modello linguistico causale (CLM) pre-addestrato su un corpus su larga scala di binari malware reali disassemblati e pseudo-codice decompilato.

• Dati: Il corpus include assembly, pseudo-codice e artefatti di livello sorgente estratti da repository pubblici e feed di intelligence sulle minacce.
• Preprocessing: I campioni vengono normalizzati (canonizzazione delle istruzioni, rinomina dei registri, randomizzazione degli indirizzi) per ridurre il rumore sintattico.
• Obiettivo: Esporre il modello a tecniche di offuscamento, logiche anti-debugging e pattern di utilizzo delle API specifici del malware.

B. Strategie di Adattamento del Task

Per adattare il modello pre-addestrato a compiti specifici senza sovrascrivere la conoscenza di dominio, vengono proposte due strategie complementari:

1. Multi-Adapter (MA): Introduce moduli parametrici leggeri (adapter) specifici per ogni task (es. Assembly $\to$ Sorgente e Sorgente $\to$ Assembly) attaccati al modello base condiviso. Questo permette una specializzazione flessibile e riduce il costo del fine-tuning.
2. Seq2Seq Unified (S2S): Utilizza un modello decoder-only arricchito con "token di prefisso" specifici per il task. Invece di avere encoder-decoder separati, un unico modello autoregressivo gestisce entrambe le direzioni di traduzione condizionato dal prefisso del task.

C. Fine-Tuning Efficiente (LoRA)

Entrambe le strategie utilizzano Low-Rank Adaptation (LoRA) per aggiornare i parametri in modo efficiente. Solo le matrici a basso rango vengono ottimizzate, mantenendo i pesi del backbone congelati. Questo previene il "catastrophic forgetting" della conoscenza del dominio malware acquisita durante il pre-addestramento.

D. Valutazione Olistica

Il framework introduce un protocollo di valutazione unificato che misura tre dimensioni:

1. Similarità Semantica: Misurata tramite BERTScore.
2. Similarità Strutturale (Edit Similarity): Misurata tramite la distanza di Levenshtein normalizzata.
3. Rieseguibilità (Re-executability): Un test critico in cui il codice sorgente generato viene ricompilato (con GCC -O2) ed eseguito in un ambiente sandbox. Solo il codice che compila ed esegue correttamente riceve un punteggio positivo.

3. Contributi Chiave

• Primo framework CLM consapevole del malware: È il primo approccio che utilizza il pre-addestramento causale su corpus reali di malware per la decompilazione basata su LLM.
• Ingegneria inversa bidirezionale unificata: Supporta sia la decompilazione (Assembly $\to$ Sorgente) che la ricompilazione (Sorgente $\to$ Assembly) in un unico modello, gestendo sia codice benigno che malevolo.
• Strategie ibride di adattamento: Propone e confronta l'uso di Multi-Adapter e Seq2Seq Unified con prefissi task-specific per l'adattamento del malware.
• Nuovo protocollo di valutazione: Sposta il focus dalle sole metriche statiche alla validazione funzionale (compilazione ed esecuzione) del codice generato.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti sul dataset SBAN (676.151 campioni allineati) e su dataset PE-Machine Learning.

• Performance Superiore: LLM4CodeRE supera sia i modelli generici (come DeepSeek, Qwen, Llama) che gli strumenti di decompilazione specifici (LLM4Decompile, WADEC) in termini di similarità semantica e strutturale.
  • Nel task Assembly $\to$ Sorgente, la variante Multi-Adapter ha raggiunto una similarità semantica di 0.85.
  • Nel task Sorgente $\to$ Assembly (più difficile), la variante Multi-Adapter ha ottenuto 0.64 di similarità semantica.
• Rieseguibilità: La variante Seq2Seq Unified (S2S) ha dimostrato la migliore capacità di generare codice funzionante, raggiungendo un tasso di rieseguibilità del 86% sul dataset XLangKode, contro il 53% della variante Multi-Adapter e il 15% di DeepSeek.
• Adattamento di Dominio: Il pre-addestramento specifico sul malware ha ridotto significativamente la perplessità del modello su tutti i dataset testati, confermando l'efficacia dell'apprendimento rappresentazionale di dominio.

5. Significato e Implicazioni

Il lavoro di LLM4CodeRE rappresenta un passo avanti significativo nell'automazione dell'analisi del malware:

• Affidabilità Operativa: Dimostrando che il codice generato può essere compilato ed eseguito, il framework supera il limite delle attuali soluzioni che producono solo testo sintatticamente corretto ma semanticamente inutile.
• Scalabilità: Offre un approccio scalabile per analizzare grandi volumi di malware offuscati, riducendo il carico di lavoro manuale per gli analisti.
• Fondamento per il Futuro: Stabilisce una base per la ricerca futura sull'analisi automatizzata di malware su diverse piattaforme (es. estensione prevista per Android e bytecode Dalvik) e sull'uso di LLM per la generazione di firme difensive.

In sintesi, LLM4CodeRE non è solo un modello di traduzione, ma un sistema di ingegneria inversa adattivo che integra la conoscenza specifica delle minacce per produrre codice reversibile e funzionante, colmando il divario tra l'intelligenza artificiale generativa e le esigenze pratiche della cybersecurity.