Sintesi Tecnica: Un Framework Multi-Task Mixture of Experts per la Classificazione di Malware, il Rilevamento del Packing e l'Attribuzione di Famiglia

Definizione del Problema

L'analisi dei malware affronta sfide significative dovute all'inerente eterogeneità dei dati relativi ai malware, alla prevalenza di binari compressi (packed) e offuscati, e alla diversità della distribuzione delle famiglie di malware. I meccanismi di rilevamento tradizionali a modello singolo spesso faticano a generalizzare su queste varie distribuzioni di dati, portando a un degrado delle prestazioni, in particolare su campioni rari o pesantemente offuscati. Inoltre, gli framework esistenti si affidano tipicamente ad architetture monolitiche che tentano di ottimizzare simultaneamente molteplici obiettivi eterogenei (ad esempio, classificazione della famiglia, rilevamento del packing e discriminazione tra benigno/malware). Questo approccio spesso causa un "trasferimento negativo del compito" (negative task transfer), in cui i requisiti strutturali e semantici contrastanti di diversi compiti interferiscono tra loro, impedendo al modello di apprendere rappresentazioni efficaci per tutti gli obiettivi.

Metodologia

Gli autori propongono un framework di apprendimento multi-task unificato basato su architetture Mixture of Experts (MoE) per affrontare tali limitazioni. L'ipotesi centrale è che decomporre il problema in reti di esperti specializzate, coordinate da meccanismi di gating adattivi, consenta un apprendimento efficace specifico per ogni compito mantenendo al contempo la scalabilità.

1. Rappresentazioni di Input

Il framework valuta le prestazioni attraverso due distinte modalità di input:

• Caratteristiche Strutturate EMBER: Descrittori numerici ad alta dimensionalità (2.381 dimensioni) estratti da file Portable Executable (PE) utilizzando il framework EMBER. Questi includono metadati PE analizzati, informazioni sull'header, caratteristiche delle sezioni, tabelle di import/export e istogrammi di byte e misure di entropia indipendenti dal formato.
• Rappresentazioni Immagine 1D Raw: Conversione diretta di byte eseguibili grezzi in sequenze di intensità in scala di grigi monodimensionali (testate a lunghezze di 1.024, 4.096 e 16.384 byte), consentendo al modello di apprendere dai dati binari a basso livello senza un'ingegneria delle caratteristiche esplicita.

2. Varianti Architetturali

Lo studio investiga sistematicamente tre paradigmi MoE:

• Homogeneous MoE (Homo-MoE): Utilizza tre reti di esperti identiche e una singola rete di gating condivisa. Tutti gli esperti condividono la stessa architettura (layer densi) ma apprendono pattern di caratteristiche differenti. Impiega una perdita di Errore Quadratico Atteso e un regolarizzatore di ricostruzione per garantire la significatività dello spazio latente.
• Heterogeneous MoE (Hetero-MoE): Combina esperti strutturalmente diversi (ad esempio, uno con connessioni skip, uno con dimensioni ridotte, uno con strati bottleneck) per catturare informazioni complementari. Utilizza la perdita di Negative Log-Likelihood (NLL) per promuovere l'apprendimento competitivo tra le diverse strutture.
• Multi-Gate Mixture of Experts (MMoE): Progettato specificamente per scenari multi-task, questa architettura impiega reti di gating indipendenti per ogni compito. Invece di un singolo gate che instrada gli input per tutti i compiti, l'MMoE consente a ciascun compito (Classificazione della Famiglia, Rilevamento del Packing, Identificazione Malware/Benigno) di selezionare e pesare indipendentamente gli output degli esperti. Ciò disaccoppia il processo di routing per mitigare il trasferimento negativo tra i compiti.

3. Strategia di Addestramento e Valutazione

• Obiettivi Multi-Task: Il framework esegue simultaneamente tre compiti:
  1. Classificazione della famiglia di malware (multi-classe).
  2. Rilevamento Packed vs Unpacked (binario).
  3. Identificazione Malware vs Benigno (binario).
• Robustezza Avversaria: Per valutare la resilienza, gli autori utilizzano PyMetaEngine per generare campioni di malware mutati, creando dataset avversari che introducono shift di distribuzione preservando la semantica del programma.
• Metriche: Le prestazioni sono misurate tramite Accuratezza, F1-score e un Combined Detection Rate (CDR), che richiede che tutti e tre i compiti siano corretti affinché un campione sia conteggiato come un successo. L'Attack Success Rate (ASR) è definito come $1 - CDR$.

Contributi Chiave

1. Formulazione Multi-Task Unificata: Il paper formula l'analisi dei malware come un singolo framework che integra la classificazione della famiglia, il rilevamento del packing e la separazione malware/benigno, allontanandosi dai modelli isolati a compito singolo.
2. Investigazione Architetturale: Progetta e valuta architetture Homogeneous, Heterogeneous e Multi-Gate MoE, evidenziando l'impatto della diversità degli esperti e delle strategie di gating sull'analisi dei malware.
3. Confronto delle Rappresentazioni delle Caratteristiche: Viene condotta un'analisi comparativa completa tra le caratteristiche strutturate EMBER e le rappresentazioni immagine 1D raw all'interno del contesto MoE.
4. Valutazione della Robustezza: I modelli sono testati sotto shift di distribuzione indotti da attacchi avversari metamorfici basati su mutazioni per valutare la resilienza nel mondo reale.
5. Risultati Empirici: Lo studio dimostra che il Multi-Gate MoE (MMoE) raggiunge prestazioni e stabilità superiori, in particolare quando utilizza le caratteristiche strutturate EMBER e dati di addestramento aumentati tramite mutazione.

Risultati Sperimentali

Gli esperimenti sono stati condotti su un dataset di 66.400 file PE (26.400 malware, 40.000 benigni) attraverso molteplici seed casuali.

• Prestazioni Standard (Caratteristiche EMBER): Il modello MMoE ha raggiunto il più alto CDR basale di 0,9670, superando l'Homogeneous MoE (0,9466) e l'Heterogeneous MoE (0,9425). Anche l'MMoE ha mostrato l'ASR più basso, pari al 3,35%.
• Robustezza Avversaria (Campioni Mutati): Quando testato contro campioni mutati (Dataset D2), l'MMoE ha mantenuto un CDR di 0,9342, mentre gli Homogeneous e Heterogeneous MoE hanno subito cali significativi rispettivamente a 0,8635 e 0,8577. Ciò indica la superiore capacità dell'MMoE di gestire gli shift di distribuzione.
• Impatto dell'Aumento dei Dati: L'addestramento dell'MMoE su un dataset aumentato con campioni mutati (Dataset D3) ha ulteriormente migliorato le prestazioni, raggiungendo un CDR di 0,9744 con un ASR di soli 2,56%.
• Risultati Immagine 1D Raw: Utilizzando le rappresentazioni byte 1D raw, l'Heterogeneous MoE ha superato l'MMoE (CDR 0,9585 vs 0,9478). Ciò suggerisce che per i dati grezzi, la diversità architettonica degli esperti possa essere più benefica rispetto al gating specifico per compito, mentre per le caratteristiche strutturate, il gating specifico per compito è critico.
• Efficienza: Il modello MMoE ha dimostrato un'alta efficienza computazionale, con un tempo di test di circa 2,05 µs per campione.

Significato e Rivendicazioni

Il paper sostiene che il framework proposto offre una direzione promettente per sistemi di rilevamento dei malware scalabili e resilienti. La principale significatività risiede nella dimostrazione che il routing degli esperti specifico per compito (tramite MMoE) migliora significativamente l'accuratezza e la generalizzazione rispetto alle strategie di gating unificate, in particolare in distribuzioni di malware complesse ed eterogenee.

Gli autori notano con modestia che il vantaggio del gating specifico per compito non è indipendente dalla rappresentazione dell'input; esso è più efficace se accoppiato alla ricchezza semantica delle caratteristiche strutturate EMBER. Sebbene le rappresentazioni 1D raw beneficino maggiormente delle strutture degli esperti eterogenee, il framework MMoE con caratteristiche EMBER rappresenta la configurazione più robusta per affrontare le diverse sfide dei moderni malware, inclusi il packing e le mutazioni metamorfiche. Il lavoro evidenzia come la specializzazione degli esperti e il calcolo condizionale siano meccanismi efficaci per ridurre l'interferenza tra obiettivi di sicurezza concorrenti.