💻 computer science

AsmRAG: LLM-Driven Malware Detection by Retrieving Functionally Similar Assembly Code

AsmRAG è un framework di rilevamento malware basato su Large Language Models che utilizza la generazione aumentata dalla ricerca (RAG) a livello di codice assembly per fornire analisi forensi interpretabili e robuste contro l'offuscamento.

Autori originali: ElMouatez Billah Karbab

Pubblicato 2026-04-28

📖 3 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: ElMouatez Billah Karbab

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il Problema: Il "Giudice Cieco" dei Computer

Immaginate che un sistema di sicurezza informatica sia come un guardiano alla porta di un grande palazzo. Finora, questi guardiani sono stati addestrati a riconoscere i criminali guardando solo la "statistica" generale: "Se una persona indossa una felpa nera, ha un cappuccio e cammina velocemente, allora è un ladro".

Il problema? I ladri moderni sono diventati bravissimi a ingannare il guardiano. Si mettono una giacca colorata sopra la felpa, cambiano il modo di camminare o si mescolano alla folla per sembrare persone normali. Il guardiano, che si basa solo su queste apparenze superficiali, finisce per dire: "Non è un ladro, sembra una persona normale", anche se quel ladro ha in tasca un grimaldello. In gergo tecnico, questi sistemi sono "Black Box" (scatole nere): ti dicono "è un virus", ma non ti spiegano perché, lasciando gli esperti umani nel dubbio.

La Soluzione: AsmRAG (Il Detective con la Memoria Infinita)

Gli autori di questo studio hanno creato AsmRAG, che non è un semplice guardiano, ma un Detective con una memoria prodigiosa.

Invece di guardare l'aspetto esteriore (la "statistica" del file), AsmRAG guarda cosa sta facendo la persona (il codice assembly, ovvero le istruzioni fondamentali che il computer esegue).

Ecco come funziona, usando tre concetti chiave:

1. Il Filtro del "Rumore" (Pulizia della scena del crimine)

Un file può contenere migliaia di istruzioni inutili, mescolate a pezzi di programmi legittimi (come se un ladro si mettesse un pezzo di un giornale in tasca per confondere le tracce). AsmRAG ha un filtro intelligente: scarta immediatamente tutte le parti "standard" e banali (come le istruzioni che usano tutti i programmi per funzionare) e si concentra solo sulle parti uniche e sospette. È come se il detective pulisse la scena del crimine eliminando le impronte digitali di chiunque sia passato di lì per caso, lasciando solo quelle del sospettato.

2. La Ricerca del "DNA Logico" (Il cuore del sistema)

Qui avviene la magia. Invece di cercare un'immagine o un nome, AsmRAG trasforma ogni azione del programma in una sorta di "impronta digitale semantica".
Immaginate che un ladro cambi vestiti, cambi capelli e usi un accento diverso, ma continui a fare esattamente lo stesso movimento specifico per scassinare una serratura. AsmRAG non si fa ingannare dai vestiti; riconosce quel movimento specifico. Il sistema confronta l'azione sospetta con un enorme archivio di "movimenti criminali" già conosciuti. Se il movimento coincide, il detective dice: "Ho trovato il colpevole!".

3. La Spiegazione Narrativa (Il rapporto del detective)

Questa è la parte più rivoluzionaria. I vecchi sistemi dicevano solo: "Probabilità di virus: 99%". AsmRAG, invece, scrive un vero e proprio rapporto investigativo in linguaggio umano.
Dice all'analista: "Questo file è pericoloso perché la funzione X si comporta esattamente come il virus 'Ramnit', che usa lo stesso identico metodo per rubare le password, anche se ha cercato di nascondersi cambiando i nomi delle sue istruzioni".

In sintesi: Perché è importante?

Grazie ad AsmRAG, la sicurezza informatica passa da un sistema di "indovinelli statistici" a un sistema di "prove concrete".

È più difficile da ingannare: Anche se il virus cambia "aspetto" (obfuscazione), non può cambiare la sua "intenzione" (logica) senza smettere di essere un virus.
È più utile per gli umani: Non dà solo un allarme, ma spiega il perché, permettendo agli esperti di capire subito come reagire.

In breve: AsmRAG non guarda come un virus appare, ma guarda cosa il virus fa.

Riassunto Tecnico: AsmRAG

1. Il Problema: L'Opacità e la Fragilità dei Rilevatori Deep Learning

L'autore identifica due criticità fondamentali nei moderni sistemi di rilevamento malware basati su Deep Learning (come EMBER o ResNeXt):

Mancanza di Interpretabilità (Black Box): I modelli attuali forniscono verdetti probabilistici (es. "99% malware") senza fornire un contesto forense. Gli analisti dei SOC (Security Operations Center) non sanno perché un file sia considerato malevolo, rendendo difficile l'attribuzione e la risposta agli incidenti.
Fragilità Sintattica (Obfuscation): I classificatori basati su statistiche globali (istogrammi di byte, entropia, n-grammi) sono facilmente ingannabili da tecniche di offuscamento come l'inserimento di dead code o la sostituzione di istruzioni. Queste tecniche alterano la "superficie" del file senza cambiare la sua logica funzionale, spostando il campione oltre il confine decisionale del modello.

2. Metodologia: Dalla Classificazione alla Retrieval-Augmented Generation (RAG)

Il framework AsmRAG propone un cambio di paradigma: invece di classificare un intero file, il sistema trasforma il rilevamento in un compito di recupero di prove basato su evidenze semantiche.

Il processo si articola in tre fasi principali:

A. Costruzione della Knowledge Base (KB):

Semantic Library Filtering: Per evitare che il codice di librerie standard (es. glibc, openssl) inquini il rilevamento (causando falsi positivi), AsmRAG utilizza un meccanismo di filtraggio nello spazio degli embedding. Le funzioni vengono confrontate con un indice di librerie note tramite similarità semantica, non tramite hash binari (che sono troppo fragili).
Embedding Semantici: Le funzioni assembly vengono estratte e processate da un LLM specializzato nel codice (Qwen3-Embedding). Questo modello mappa funzioni con logica identica ma sintassi diversa (es. registri diversi o istruzioni equivalenti) in coordinate vicine in uno spazio vettoriale, superando il "gap semantico".

B. Analisi Basata su Evidenze (Inference):

Distance-Weighted Voting: Per ogni funzione sospetta, il sistema esegue una ricerca Approximate Nearest Neighbor (ANN) nella KB. Il punteggio di malevolità non è una semplice media, ma è pesato in base alla vicinanza semantica dei vicini trovati.
Anchor Function Selection: Il sistema identifica la "funzione ancora" ( $q^*$ ), ovvero il segmento di codice che presenta la massima densità di vicini malevoli all'interno di una specifica famiglia di malware. Questa funzione rappresenta la prova regina del payload malevolo.

C. Generazione di Spiegazioni (Generative Reporting):

Utilizzando un LLM (GPT-OSS), il sistema confronta la funzione ancora ( $q^*$ ) con un campione di prova noto ( $v_{proof}$ ) e genera una spiegazione in linguaggio naturale. L'obiettivo è spiegare la logica funzionale (es. "entrambe le funzioni implementano un algoritmo di cifratura XOR con costanti specifiche") anziché descrivere i byte.

3. Contributi Chiave

Architettura RAG a livello di funzione: Sposta l'analisi dalle statistiche globali del file alla ricerca semantica di unità atomiche di codice.
Strategia di Embedding Resiliente al Rumore: Utilizza una "canonicalizzazione minima" per preservare dettagli critici (costanti, registri) pur eliminando il rumore (indirizzi di memoria ASLR).
Meccanismo di Anchor Attribution: Un sistema di scoring basato sulla densità che isola la logica malevola dai "decoy" (codice benigno inserito per ingannare).
Ciclo di Active Learning: Permette agli analisti di confermare le spiegazioni, reintegrando immediatamente le nuove varianti nella Knowledge Base per un aggiornamento dinamico senza necessità di retraining completo del modello.

4. Risultati Sperimentali

Il sistema è stato testato su un dataset di oltre 40.000 binari appartenenti a 17 famiglie di malware.

Performance di Rilevamento: AsmRAG ha raggiunto un F1-score del 96% per il rilevamento e del 95% per l'attribuzione della famiglia.
Resilienza all'Offuscamento: Mentre i modelli basati su feature (EMBER) e immagini (ResNeXt) mostrano un degrado significativo (fino al -18%) quando sottoposti a compilazioni aggressive (es. ottimizzazione -O3), AsmRAG mantiene una stabilità elevata (degrado < 3%), dimostrando che la logica semantica rimane invariata nonostante le trasformazioni sintattiche.
Qualità delle Spiegazioni: Gli audit hanno confermato un tasso di "allucinazione" estremamente basso (circa 2.1%), con spiegazioni che si concentrano correttamente sulla logica funzionale e non su dettagli superficiali.

5. Significato e Impatto

AsmRAG rappresenta un passo avanti fondamentale per la Explainable AI (XAI) applicata alla cybersecurity. Non si limita a dire "questo è un virus", ma fornisce all'analista la prova forense necessaria: "Questo file è malevolo perché la funzione X è semanticamente identica alla routine di cifratura della famiglia Y". Questo approccio riduce la fatica degli analisti, aumenta la fiducia nei sistemi automatizzati e crea una difesa dinamica capace di evolversi insieme alle nuove tecniche di offuscamento degli avversari.