Ultra-Fusion: A Multimodal Dynamic Detection Framework for Malware Classification with Hybrid Sequence Engine

Nel mondo digitale, i programmi software sono costruiti a partire da lunghe liste di istruzioni che dicono a un computer cosa fare. Quando un programma è malevolo, viene chiamato malware, e spesso nasconde la sua vera natura rimescolando il proprio codice o mescolando le proprie istruzioni con altre innocue. Per decenni, gli esperti di sicurezza hanno cercato di catturare queste minacce cercando schemi specifici e noti, molto simile a un bibliotecario che controlla il titolo di un libro rispetto a una lista di storie bandite. Tuttavia, il malware moderno è diventato troppo astuto per questo semplice controllo; cambia costantemente il suo aspetto, facendo sembrare il programma un libro diverso ogni volta che viene aperto. Per risolvere questo problema, i ricercatori si sono rivolti all'osservazione di come un programma si comporta mentre è in esecuzione, prestando particolare attenzione alle richieste specifiche che inoltra al sistema operativo. Queste richieste, note come chiamate API, formano una sequenza che funge da impronta digitale comportamentale. La sfida ora è leggere queste impronte digitali in modo rapido e accurato, anche quando il malware cerca di confondere il lettore inserendo richieste false e innocue nella lista.

Un team di ricercatori ha sviluppato un nuovo sistema chiamato Ultra-Fusion per affrontare questo problema, osservando il comportamento del malware da tre diverse angolazioni contemporaneamente. Invece di affidarsi a un solo modo per analizzare i dati, il loro metodo combina un'istantanea visiva, una cronologia degli eventi e un riepilogo statistico in un'unica, potente decisione. I ricercatori hanno preso la lista grezza delle richieste di sistema e l'hanno trasformata in un'immagine a colori, dove colori diversi rappresentavano diversi tipi di informazioni: l'identità della richiesta, quanto spesso accadeva e quale tipo di compito svolgeva. Ciò ha permesso loro di utilizzare strumenti di riconoscimento d'immagine per individuare la "trama" unica di un programma malevolo, anche se l'ordine delle richieste veniva rimescolato. Allo stesso tempo, hanno utilizzato un motore specializzato progettato per comprendere lunghe catene di eventi, aiutando il sistema a ricordare le connessioni tra azioni avvenute molto distanti nel tempo. Per proteggersi dai trucchi in cui gli attaccanti inseriscono dati spazzatura per nascondere le proprie tracce, hanno aggiunto un terzo livello che si limita a contare quante volte ogni tipo di richiesta appare nell'intero elenco, fornendo una rete di sicurezza che si basa sulla frequenza complessiva piuttosto che sull'ordine specifico.

Quando il team ha testato questo nuovo framework su tre diverse collezioni di dati relativi ai malware, i risultati sono stati straordinariamente coerenti. Il sistema ha identificato correttamente il software malevolo in quasi ogni caso, raggiungendo un tasso di accuratezza del 99,49% sul dataset più grande. Questa prestazione è stata superiore ad altri metodi d'avanguardia che si basavano su un solo tipo di analisi, come l'osservazione del solo sequenziamento degli eventi o del solo schema visivo. I ricercatori hanno scoperto che la combinazione di queste tre vedute era essenziale; quando rimuovevano una qualsiasi parte del sistema, l'accuratezza diminuiva, dimostrando che ogni angolazione forniva informazioni uniche e necessarie. Il sistema ha anche mostrato una forte capacità di rilevare le minacce molto precocemente, identificando correttamente il malware dopo aver visto solo le prime dieci richieste di sistema, il che è cruciale per fermare un attacco prima che causi danni.

Il risultato più significativo è stato forse la capacità del sistema di mantenere la calma di fronte a una confusione deliberata. I ricercatori hanno testato il framework inserendo istruzioni innocue nella lista delle azioni del malware, simulando un attacco in cui il codice dannoso cerca di nascondersi in un mare di codice buono. Anche quando la metà delle istruzioni nella lista erano false, il sistema ha mantenuto un alto livello di accuratezza, mentre i metodi più vecchi faticavano significativamente. Questa resilienza suggerisce che le parti visive e statistiche del sistema agiscano come un'ancora stabile, permettendo al software di vedere attraverso il rumore e riconoscere il nucleo del comportamento malevolo. Inoltre, il sistema si è dimostrato altamente adattabile; quando addestrato su un set di dati, è stato in grado di riconoscere i malware in dataset completamente diversi con un'accuratezza quasi perfetta, indicando che ha appreso la natura fondamentale del comportamento malevolo piuttosto che limitarsi a memorizzare esempi specifici.

I ricercatori hanno anche guardato all'interno del sistema per capire come prendesse le sue decisioni, utilizzando una tecnica che evidenzia le parti più importanti dei dati. Hanno scoperto che il sistema focalizza la sua attenzione su specifiche interazioni ad alto rischio, come i tentativi di caricare codice nascosto o di scrivere nella memoria di un altro programma, che sono segni classici di un attacco. Questa trasparenza conferma che il sistema non sta tirando a indovinare, ma sta identificando veri e propri pattern pericolosi. Combinando questi tre modi distinti di guardare il problema, il framework Ultra-Fusion offre un nuovo strumento robusto per la cybersecurity. Dimostra che, guardando una minaccia attraverso molteplici lenti simultaneamente, i sistemi di sicurezza possono diventare molto più efficaci nel individuare l'invisibile e il camuffato, fornendo una difesa più forte in un ambiente in cui le minacce sono in costante evoluzione.