Sintesi Tecnica: MalTree – Tracciare l'Evoluzione del Malware tramite Embedding su Larga Scala

1. Definizione del Problema

I paradigmi attuali di rilevamento del malware sono fondamentalmente reattivi. I modelli di machine learning addestrati su campioni noti degradano man mano che le minacce evolvono attraverso il polimorfismo, il metamorfismo e l'offuscamento. Sebbene la comprensione delle relazioni evolutive tra le famiglie di malware possa informare una difesa proattiva, l'ingegneria inversa tradizionale per scoprire la linea di discendenza è lenta, richiedendo spesso mesi o anni. Inoltre, gli approcci filogenetici esistenti nell'analisi del malware sono limitati da piccoli campioni, singole modalità di feature o dalla mancanza di validazione temporale per confermare se gli alberi inferiti riflettano gli effettivi cronogrammi di emergenza. Esiste un divario critico nel rendere scalabile l'analisi evolutiva a grandi dataset e nel validare se le somiglianze strutturali corrispondano a vere linee di discendenza storiche.

2. Metodologia

Gli autori propongono MalTree, un framework che applica tecniche filogenetiche ispirate alla bioinformatica ai campioni di malware su una scala senza precedenti. La pipeline si compone di quattro fasi principali:

2.1. Estrazione di Embedding Multi-Modali

Invece di analizzare i binari grezzi (che sono spesso compressi o offuscati), MalTree analizza i dump di memoria estratti da esecuzioni controllate in sandbox per rivelare il codice decriptato e gli stati di runtime. Estrae tre embedding complementari:

• Pseudo-statico ($e_s$): Derivato dalle sezioni eseguibili (header, import, export, opcode) utilizzando la libreria LIEF, codificato tramite un modello di text-embedding (OpenAI text-embedding-3-large) a 3.000 dimensioni, concatenato con istogrammi di byte.
• Dinamico ($e_d$): Cattura le tracce comportamentali (attività su file, processi, registro, rete, mutex) dall'esecuzione in sandbox, codificate a 1.000 dimensioni.
• Immagine ($e_i$): Dump di memoria convertiti in immagini RGB (bin2png) e processati attraverso un'architettura ResNet-50 pre-addestrata su benchmark di immagini di malware e perfezionata sul dataset, che produce vettori a 2.048 dimensioni.

Questi embedding vengono fusi tramite concatenazione e una rete neurale a due strati, riducendo la combinazione di 6.560 dimensioni a una rappresentazione di 1.000 dimensioni per la costruzione dell'albero.

2.2. Costruzione dell'Albero

Il framework costruisce alberi filogenetici partendo dalle distanze pairwise nello spazio degli embedding utilizzando due algoritmi basati sulla distanza:

• UPGMA (Unweighted Pair Group Method with Arithmetic Mean): Assume un tasso evolutivo costante (orologio molecolare).
• Neighbor-Joining (NJ): Accoglie l'eterogeneità dei tassi, permettendo alle linee di discendenza di evolversi a velocità differenti.
  Gli autori utilizzano RapidNJ per ottenere una scalabilità vicina a $O(n^2)$, consentendo l'elaborazione di oltre 100.000 campioni.

2.3. Validazione Temporale

Poiché il malware manca di sequenze genetiche e date di divergenza note, MalTree introduce un metodo di validazione innovativo utilizzando i timestamp della prima sottomissione su VirusTotal come proxy per il tempo di emergenza.

• Radicamento (Rooting): Gli alberi vengono radicati utilizzando il campione con il timestamp più antico (radicamento outgroup) o tramite radicamento del punto medio (midpoint rooting).
• Metrica di Consistenza: Il framework valida l'albero confrontando l'ordine di divergenza inferito con i timestamp. Per le coppie di "siblings" (fratelli) che condividono un antenato comune più recente (MRCA), il campione con la lunghezza del percorso più breve (distanza del ramo) verso l'MRCA è inferito come emerso precedentemente. Viene calcolato un "punteggio di consistenza temporale" come la proporzione di coppie di siblings in cui l'ordine inferito dall'albero corrisponde all'ordine dei timestamp.

2.4. Analisi Inter-Famiglia

Per inferire le relazioni tra le famiglie, il framework aggrega i campioni per famiglia (determinata dai label di consenso di VirusTotal). Calcola la distanza mediana del percorso da ciascuna foglia della famiglia al loro MRCA condiviso. Vengono create direzioni (edge) dal membro della famiglia con la distanza mediana più breve (divergenza precedente) alla famiglia con la distanza maggiore, con pesi degli archi che rappresentano la distanza mediana della famiglia sorgente.

3. Contributi Chiave

1. Analisi Filogenetica su Larga Scala: Gli autori hanno costruito alberi filogenetici validati da 103.883 campioni di malware appartenenti a 538 famiglie. Questa analisi è stata completata in circa 11 ore (UPGMA) o 3 giorni (NJ) su un cluster a 20 core, rappresentando la più grande analisi di questo tipo ad oggi.
2. Framework di Validazione Temporale: Il documento introduce un metodo per validare la direzionalità evolutiva utilizzando i timestamp di VirusTotal, affrontando una lacuna nei lavori precedenti in cui gli alberi inferiti non venivano verificati rispetto ai timeline di emergenza del mondo reale.
3. Insight Evolutivi Interpretabili: Il framework include metodi per la semplificazione dell'albero e l'analisi inter-famiglia che rivelano relazioni coerenti con l'intelligence sulla cybersecurity pubblica (ad esempio, la linea di discendenza del botnet Mirai).
4. Rilascio Open: Il codice e gli embedding sono rilasciati alla comunità per facilitare ulteriori ricerche.

4. Risultati Sperimentali

• Qualità degli Embedding: Gli embedding multi-modali combinati hanno raggiunto un'accuratezza di classificazione delle famiglie del 93,69% utilizzando un probe lineare, superando le singole modalità. Gli embedding di immagine da soli hanno raggiunto il 94,91%, suggerendo che la struttura visiva discrimina fortemente le famiglie.
• Consistenza Temporale: L'algoritmo Neighbor-Joining con radicamento outgroup ha ottenuto un punteggio di consistenza temporale dell'87,1%. Ciò indica che le relazioni evolutive inferite si allineano strettamente con i timeline di emergenza del mondo reale. Al contrario, UPGMA ha performato bene (86,0%) nella sua configurazione nominale, ma è degradato significamente quando forzato in schemi di radicamento alternativi, suggerendo che l'evoluzione del malware violi spesso l'assunto di tasso costante.
• Tassi Evolutivi: L'analisi del drift degli embedding ha rivelato che i tassi di mutazione non sono uniformi tra le famiglie. Alcune famiglie (ad esempio, Bashlite, Syslogk) mostrano un drift oltre 10 volte superiore rispetto ad altre, violando l'assunto dell'orologio molecolare richiesto da UPGMA e favorendo Neighbor-Joining.
• Casi di Studio:
  • Mirai Botnet: L'albero inferito ha identificato correttamente cinque discendenti noti di Mirai (Bashlite, Okiru, MooBot, Gafbyt, Rapperbot) con pesi degli archi coerenti con la documentata linea di codice e l'intelligence sulle minacce. L'analisi statica dei simboli di import/export ha confermato un alto riutilizzo del codice (ad esempio, l'82% di sovrapposenza tra Mirai e Okiru).
  • SmokeLoader: Il framework ha identificato associazioni nelle catene di consegna (ad esempio, con Amadey, RedLine) piuttosto che l'eredità del codice, dimostrando la sua capacità di catturare la prossimità operativa.
  • Limitazioni Osservate: Il framework ha catturato relazioni funzionali piuttosto che organizzative. Ad esempio, l'ecosistema Conti (gruppo Wizard Spider) non si è raggruppato insieme perché gli strumenti (banking trojans, loader, ransomware) occupavano regioni diverse dello spazio delle feature nonostante la comune autoria.

5. Significato e Rivendicazioni

Il documento afferma che MalTree fornisce una base per passare dalla classificazione campione per campione verso una modellazione evolutiva consapevole della linea di discendenza. Dimostrando che i metodi filogenetici possono catturare significative strutture evolutive su larga scala, il lavoro suggerisce che le strategie di rilevamento dovrebbero essere adattate ai specifici tempi evolutivi delle famiglie di malware.

Gli autori sottolineano che il loro approccio integra i flussi di lavoro esistenti producendo insight evolutivi in settimane anziché nei mesi richiesti dall'ingegneria inversa manuale. Tuttavia, rimangono modesti riguardo all'ambito, notando che:

• Il framework cattura relazioni funzionali (riutilizzo del codice, toolkit condivisi) piuttosto che organizzative (attribuzione dell'attore della minaccia).
• Non può distinguere automaticamente tra evoluzione del codice, associazioni della catena di consegna e incidenza della prossimità delle feature.
• La validità degli alberi inferiti dipende dall'assunto che le lunghezze dei rami più brevi all'interno delle coppie di siblings corrispondano a un'emergenza precedente, un assunto di "orologio locale" che è empiricamente valido per divergenze superficiali ma richiede ulteriore validazione per evoluzioni altamente irregolari.

In definitiva, MalTree offre un metodo scalabile e automatizzato per visualizzare e validare l'ecosistema digitale co-evolutivo del malware, fornendo ai professionisti della sicurezza ipotesi per l'investigazione e una comprensione più profonda di come le famiglie di malware evolvano nel tempo.