Tri-Modal Contrastive Binary Analysis via Opcode Transformers, Control Flow Graph Isomorphism Networks, and System Call Embeddings: A Systematic Review of Zero-Day Malware Detection Frameworks

Nel mondo digitale, il software viene spesso trattato come una scatola sigillata. Per capire cosa faccia un programma, gli esperti di sicurezza tradizionalmente esaminano il suo codice, proprio come un meccanico che ispeziona un motore. Potrebbero leggere le istruzioni grezze, osservare la mappa di come il programma si sposta da un compito all'altro o guardare cosa succede quando il programma viene eseguito. Per decenni, questi metodi hanno funzionato abbastanza bene per intercettare le minacce note. Tuttavia, il panorama è cambiato. Gli attaccanti moderni hanno imparato a travestire i propri software, avvolgendo programmi malevoli in strati di crittografia o riorganizzando la loro logica interna in modo che il codice sembri innocuo, anche se il comportamento rimane pericoloso. Quando un singolo modo di osservare un programma fallisce perché il travestimento è troppo astuto, l'intero sistema di difesa diventa cieco. Ciò lascia un vuoto critico: come si può individuare una minaccia nuova e mai vista prima, quando essa può nascondersi da ogni singolo uno dei tuoi strumenti di ispezione standard?

Un team di ricercatori del Sandip Institute of Technology and Research Centre in India ha condotto un'analisi completa degli approcci avanzati per risolvere questo enigma. Invece di affidarsi a un solo metodo di ispezione, hanno esaminato come gli esistenti sistemi high-tech osservano il software attraverso tre diverse lenti simultaneamente. Questo approccio tri-modale combina tre distinti tipi di analisi in un'unica visione unificata: la lettura delle istruzioni di assembly grezze, la mappatura del flusso strutturale del programma e l'osservazione delle interazioni del programma con il sistema operativo del computer mentre è in esecuzione. Esaminando come questi framework costringano tre diverse prospettive a concordare su ciò che il software sia, la revisione dimostra come il codice malevolo possa essere identificato anche quando gli attaccanti hanno cercato di nasconderlo da una o due di queste viste.

I ricercatori non hanno costruito un nuovo rilevatore di virus da zero per testarlo in un laboratorio; hanno invece condotto una revisione sistematica della ricerca high-tech esistente. Hanno raccolto e analizzato quindici studi principali e oltre cinquanta articoli di supporto pubblicati tra il 2020 e il 2026. Il loro obiettivo era vedere quanto bene questi sistemi avanzati funzionassero di fronte alle sfide più difficili: il malware zero-day, che è nuovo e sconosciuto, e il codice pesantemente offuscato, che è deliberatamente rimescolato per confondere l'analisi. Hanno scoperto che i sistemi più efficaci erano quelli che non si limitavano ad aggiungere i risultati di diversi metodi, ma li fondevano insieme in un modo che permetteva al sistema di apprendere le profonde connessioni tra il codice, la struttura e il comportamento.

Il nucleo della loro scoperta è che combinare queste viste crea una rete di sicurezza. Se un attaccante utilizza una tecnica per rimescolare il codice in modo che il lettore di istruzioni non riesca a comprenderlo, la mappa strutturale potrebbe comunque rivelare la vera forma del programma. Se l'attaccante modifica poi la struttura per confondere la mappa, il sistema può osservare come il programma comunica con il sistema operativo per trovare la verità. I ricercatori hanno identificato una specifica strategia matematica utilizzata dai migliori framework per far allineare queste tre viste. Questa strategia costringe il computer a trattare il codice, la struttura e il comportamento dello stesso programma come se fossero lo stesso oggetto, anche se appaiono molto diversi in superficie. Quando il sistema incontra un file nuovo e sconosciuto, controlla se tutte e tre le viste portano alla stessa conclusione. Se lo fanno, è probabile che sia sicuro. Se indicano un modello malevolo, il sistema lo segnala, anche se il file non è mai stato visto prima.

Una delle scoperte più significative di questa revisione è come il sistema gestisce l'inganno. Gli attaccanti spesso cercano di trarre in inganno i software di sicurezza rallentando il programma o nascondendosi in un modo che lo faccia apparire come un file innocuo. I ricercatori hanno scoperto che i sistemi più robusti utilizzano un meccanismo di ponderazione intelligente. Immaginate un guardiano che ascolta tre diversi testimoni descrivere un sospettato. Se un testimone sta mentendo o è confuso, il guardiano non ignora gli altri due; invece, presta maggiore attenzione ai testimoni che raccontano una storia coerente. Allo stesso modo, questo framework rileva automaticamente quando uno dei suoi tre "testimoni" viene ingannato da un attacco e sposta il suo focus sugli altri due. Ciò consente al sistema di mantenere un alto livello di precisione, spesso superando il 98,5 percento, anche quando gli attaccanti utilizzano trucchi sofisticati per nascondersi.

Lo studio ha inoltre evidenziato i limiti pratici di questa tecnologia. Sebbene il sistema sia incredibilmente accurato, non è esente da costi. Analizzare un programma attraverso tre lenti diverse richiede una potenza di calcolo e un tempo significativi. I ricercatori hanno notato che, mentre alcune parti del processo sono molto veloci, la parte che osserva il programma in esecuzione in un ambiente simulato può richiedere minuti per file, il che è troppo lento per controllare migliaia di file ogni giorno. Tuttavia, la revisione suggerisce che, utilizzando queste tecniche di allineamento avanzate, i sistemi di sicurezza possono eventualmente imparare a prevedere il comportamento di un programma guardando solo il suo codice statico, eliminando potenzialmente la necessità dei controlli di runtime lenti e dispendiosi in termini di tempo. Ciò permetterebbe la velocità di una scansione rapida con l'accuratezza di un'analisi comportamentale profonda.

I ricercatori hanno concluso che il futuro del rilevamento dei malware risiede in questo tipo di intelligenza multi-prospettica. Hanno sostenuto che affidarsi a un singolo metodo, che consista nel guardare il codice o nell'osservare il comportamento, non è più sufficiente contro le minacce moderne. La strada da seguire consiste nel costruire sistemi in grado di sintetizzare le informazioni da diverse fonti, creando un quadro completo dell'intento di un programma. Sebbene ci siano ancora ostacoli da superare, come la necessità di computer più potenti per gestire i dati complessi e la sfida di adattare questi sistemi a diversi tipi di hardware, la revisione conferma che questo approccio offre una soluzione promettente al crescente problema delle minacce invisibili e zero-day. Il lavoro funge da tabella di marcia per come i team di sicurezza possano passare da una difesa reattiva, dove si aspetta che compaia una firma, a un rilevamento proattivo, dove si può riconoscere una minaccia per la sua natura fondamentale, indipendentemente da come cerchi di nascondersi.