Malformer: A Multi-Modal Malware Detector Using Transformers
Il documento introduce Malformer, un rilevatore basato su transformer quadrimodale che fonde rappresentazioni testuali, d'immagine, di grafi e audio di eseguibili Windows per raggiungere un'accuratezza del 98,3%, superando significativamente i sistemi tradizionali di rilevamento malware unimodali e bimodali.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, i team di sicurezza affrontano una battaglia costante e mutevole contro il software malevolo. Per decenni, la difesa primaria è stata quella di cercare impronte note: schemi specifici di codice o firme digitali uniche che identificano un virus. Questo approccio funziona bene contro le vecchie minacce, ma fallisce quando gli attaccanti creano nuovi programmi invisibili o alterano leggermente quelli esistenti per nascondere le proprie tracce. Per restare al passo, i ricercatori si sono rivolti all'apprendimento automatico, insegnando ai computer a riconoscere le strutture sottili e sottostanti del software dannoso piuttosto che limitarsi a far corrispondere modelli noti. I primi tentativi hanno insegnato ai computer a leggere il codice grezzo o a guardare il file come una semplice immagine, ma ogni metodo presentava dei punti ciechi. Un singolo modo di guardare un file potrebbe perdere indizi critici, proprio come cercare di identificare una persona vedendo solo la sua ombra o sentendo solo la sua voce.
Un team di ricercatori della Tennessee Tech University, della University of Nebraska at Omaha e della North Carolina A&T State University ha sviluppato un nuovo sistema chiamato Malformer per superare queste limitazioni. Invece di affidarsi a un unico punto di vista su un file informatico, il loro sistema lo osserva in quattro modi completamente diversi contemporaneamente. Trattano il file come un documento di testo, un'immagine, una mappa di connessioni e un'onda sonora. Combinando queste quattro prospettive, il sistema costruisce una comprensione molto più ricca di ciò che il file sta cercando di fare. I ricercatori hanno testato questo approccio su una vasta collezione di oltre 200.000 file informatici e hanno scoperto che osservare il problema attraverso tutte e quattro le lenti simultaneamente permetteva al sistema di individuare le minacce con un'accuratezza significativamente superiore rispetto ai metodi che utilizzavano uno o due soli punti di vista.
L'idea centrale dietro Malformer è che diversi modi di rappresentare un file rivelano tipi diversi di informazioni. Quando un file informatico viene convertito in testo, mostra le istruzioni specifiche che il programma impartisce al processore. Quando lo stesso file viene trasformato in un'immagine, rivela schemi nella disposizione dei suoi dati, simili a come un'impronta digitale mostra creste e valli. Quando convertito in un grafo, mappa il modo in cui le diverse parti del programma comunicano tra loro, mostrando il flusso di controllo. Infine, trattato come un segnale audio, la sequenza di byte nel file crea un'onda sonora che trasporta schemi ritmici. I ricercatori hanno scoperto che affidarsi a uno solo di questi punti di vista spesso lascia delle lacune. Ad esempio, se un attaccante offusca il codice testuale per nasconderlo, la vista immagine o quella sonora potrebbero comunque mostrare la struttura malevola. Fondendo tutti e quattro i punti di vista, il sistema crea una rete di sicurezza in cui un punto di vista può compensare le debolezze di un altro.
Per costruire questo sistema, i ricercatori hanno utilizzato strumenti avanzati noti come transformer, che sono potenti modelli informatici capaci di comprendere relazioni complesse nei dati. Hanno adattato questi modelli per gestire i quattro diversi tipi di dati. Per il testo e la mappa di connessione, hanno utilizzato modelli progettati per comprendere il linguaggio e le sequenze. Per l'immagine, hanno utilizzato un modello che tipicamente analizza le fotografie, ma modificandolo per vedere i pattern di byte di un file. Per il suono, hanno usato un modello addestrato sul parlato umano per ascoltare il ritmo dei dati del file. La sfida non era solo quella di creare questi quattro punti di vista separati, ma di insegnare al sistema come pesarli l'uno contro l'altro. I ricercatori hanno sviluppato un metodo che regola automaticamente quanta attenzione il sistema presta a ciascun punto di vista durante l'addestramento. Se un punto di vista impara più velocemente degli altri, il sistema ne riduce temporaneamente l'influenza per garantire che i punti di vista più lenti recuperino, evitando che l'intero sistema diventi influenzato da un solo tipo di informazione.
I risultati di questo approccio sono stati sorprendenti. Quando testato su un dataset di 201.549 file, il sistema Malformer ha identificato correttamente il software malevolo nel 98,3% dei casi. Questa prestazione è stata notevolmente migliore rispetto ai sistemi che guardavano un solo tipo di dato o anche a quelli che combinavano solo due viste. I ricercatori hanno scoperto che la combinazione di questi quattro punti di vista forniva un livello di dettaglio che nessun singolo punto di vista poteva raggiungere da solo. Ancora più importante, il sistema si è dimostrato resiliente. Negli scenari reali, alcune parti di un file potrebbero essere danneggiate o impossibili da leggere, causando il fallimento di uno dei quattro punti di vista. I ricercatori hanno testato cosa sarebbe successo se avessero rimosso la vista testuale o la mappa di connessione, e il sistema ha continuato a funzionare molto bene, con un calo solo lieve dell'accuratezza. Ciò suggerisce che il sistema non dipende da un singolo punto di vulnerabilità, ma piuttosto dalla forza collettiva di tutti e quattro i punti di vista.
Lo studio ha anche evidenziato il valore unico di ogni prospettiva. Mentre la vista immagine era la più costante e affidabile, la vista della mappa di connessione forniva il segnale individuale più forte quando disponibile. La vista testuale, che rappresenta il codice assembly, è stata particolarmente utile quando la mappa di connessione non riusciva a estrarre correttamente i dati. La vista sonora, un approccio meno comune in questo campo, si è dimostrata altrettanto efficace, catturando schemi che gli altri punti di vista avevano mancato. Riunendo questi metodi diversi, i ricercatori hanno creato un rilevatore che non è solo più accurato, ma anche più robusto contro i trucchi che gli attaccanti usano per nascondere il proprio lavoro. Il lavoro suggerisce che il futuro della rilevazione dei malware non risiede nel trovare un unico modo perfetto per analizzare un file, ma nell'integrare molteplici modi complementari di vedere la stessa minaccia. Mentre gli attaccanti continuano a evolvere i loro metodi, avere un sistema capace di guardare un problema da quattro angolazioni diverse simultaneamente offre una difesa potente e generalizzata per l'infrastruttura digitale di cui facciamo affidamento ogni giorno.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.