技術要約: MalTree – 大規模な埋め込みによるマルウェア進化の追跡

1. 問題提起

現在のマルウェア検出パラダイムは、根本的に反応的（リアクティブ）である。既知のサンプルに基づいて訓練された機械学習モデルは、脅威がポリモーフィズム（多形態性）、メタモーフィズム（変異性）、および難読化を通じて進化するにつれて劣化する。マルウェアファミリー間の進化関係を理解することはプロアクティブな防御に役立つ可能性があるが、系統（リネージ）を明らかにするための従来のリバースエンジニアリングは遅く、数ヶ月から数年を要することもしばしばある。さらに、マルウェア分析における既存の系統学的アプローチは、サンプルサイズの小ささ、単一の機能モダリティ、または推論された樹形図が実際の出現タイムラインを反映しているかどうかを確認するための時間的検証の欠如によって制限されている。大規模なデータセットに対して進化分析をスケールアップし、かつ構造的な類似性が真の歴史的な系統に対応していることを検証することには、重大なギャップが存在する。

2. 手法

著者らは、バイオインフォマティクスに着想を得た系統学的技術を、前例のない規模でマルウェアサンプルに適用するフレームワークである MalTree を提案している。パイプラインは主に4つのステージで構成される：

2.1. マルチモーダル埋め込み抽出

生のバイナリ（多くの場合パックされている）を分析するのではなく、MalTreeは制御されたサンドボックス実行から抽出されたメモリダンプを分析し、復号されたコードと実行時の状態を明らかにする。以下の3つの補完的な埋め込みを抽出する：

• 疑似静的（pseudo-static, $e_s$）: LIEFライブラリを用いて、実行可能セクション（ヘッダー、インポート、エクスポート、オペコード）から派生。これらをOpenAIのtext-embedding-3-largeを用いて3,000次元のテキスト埋め込みとしてエンコードし、バイトヒストグラムと結合する。
• 動的（dynamic, $e_d$）: サンドボックス実行からの挙動のトレース（ファイル、プロセス、レジストリ、ネットワーク、ミューテックス活動）を捉え、1,000次元にエンコードする。
• 画像（image, $e_i$）: メモリダンプをRGB画像（bin2png）に変換し、マルウェア画像ベンチマークで事前学習され、本データセットで微調整されたResNet-50アーキテクチャを通じて処理。これにより2,048次元のベクトルを得る。

これらの埋め込みは結合（concatenation）と2層のニューラルネットワークを介して融合され、樹形図構築のための1,000次元の表現へと削減される。

2.2. 樹形図の構築

本フレームワークは、埋め込み空間におけるペアワイズ距離を用いて、2つの距離ベースのアルゴリズムを用いて系統樹を構築する：

• UPGMA (Unweighted Pair Group Method with Arithmetic Mean): 一定の進化速度（分子時計）を仮定する。
• 近隣結合法 (Neighbor-Joining, NJ): 速度の不均一性を許容し、系統が異なる速度で進化することを可能にする。
  著者らは、10万件以上のサンプルを処理できるように、RapidNJ を用いて近似 $O(n^2)$ のスケーリングを実現している。

2.3. 時間的検証

マルウェアには遺伝子配列や既知の分岐日が存在しないため、MalTreeは VirusTotalの初回提出タイムスタンプ を出現時間のプロキシ（代理指標）として用いる新しい検証手法を導入している。

• 根付け（Rooting）: 最も早いタイムスタンプを持つサンプル（外群根付け）または中間点根付けを用いて樹形図に根を付ける。
• 一貫性指標: 樹形図が推論された分岐順序をタイムスタットと照らし合わせることで、樹形図を検証する。最も最近共通の祖先（MRCA）を共有する兄弟ペアにおいて、MRCAへの経路長（枝の距離）が短いサンプルの方が、より早く出現したと推論される。「時間的一貫性スコア」は、樹形図によって推論された順序がタイムスタンプの順序と一致する兄弟ペアの割合として算出される。

2.4. ファミリー間分析

ファミリー間の関係を推論するために、フレームワークは（VirusTotalのコンセンサスラベルによって決定された）ファミリーごとにサンプルを集計する。各ファミリーのリーフ（葉）から共通のMRCAまでの中央値経路距離を計算する。エッジは、より早い時期に分岐した（中央値距離が短い）ファミリーから、より遅い時期に分岐したファミリーへと、ソースファミリーの中央値距離を重みとして作成される。

3. 主な貢献

1. 大規模な系統学的分析: 著者らは、538のファミリーにわたる 103,883個のマルウェアサンプル から検証済みの系統樹を構築した。この分析は、20コアのクラスター上で、UPGMAで約11時間、またはNJで3日間で完了しており、これはこれまでで最大規模の分析である。
2. 時間的検証フレームワーク: 論文は、VirusTotalのタイムスタンプを使用して進化の方向性を検証する方法を導入しており、推論された樹形図が現実世界の出現タイムラインと検証されていないという、従来の研究におけるギャップに対処している。
3. 解釈可能な進化の洞察: 本フレームワークには、公開されているサイバーセキュリティ・インテリジェンス（例：Miraiボットネットの系統）と一致する関係を明らかにするための、樹形図の簡略化およびファミリー間分析の手法が含まれている。
4. オープンリリース: さらなる研究を促進するため、コードと埋め込みがコミュニティに公開されている。

4. 実験結果

• 埋め込みの品質: 結合されたマルチモーダル埋め込みは、線形プローブを用いて 93.69% のファミリー分類精度を達成し、個別のモダリティを上回った。画像埋め込み単体では94.91%を達成しており、視覚的構造がファミリーを強力に識別できることを示唆している。
• 時間的一貫性: 外群根付けを用いた近隣結合法は、87.1% の時間的一貫性スコアを達成した。これは、推論された進化関係が現実世界の出現タイムラインと密接に一致していることを示している。対照的に、UPGMAは標準的な構成では良好な結果（86.0%）を示したが、代替の根付けスキームを強制すると大幅に低下した。これは、マルウェアの進化がしばしば一定速度の仮定に違反することを示唆している。
• 進化速度: 埋め込みのドリフト分析により、変異率がファミリー間で一様ではないことが明らかになった。一部のファミリー（例：Bashlite, Syslogk）は、他のファミリーよりも 10倍以上高いドリフト を示しており、これはUPGMAが要求する分子時計の仮定に反し、Neighbor-Joiningを支持する結果となっている。
• ケーススタディ:
  • Mirai Botnet: 推論された樹形図は、既知のMiraiの子孫5つ（Bashlite, Okiru, MooBot, Gafgyt, Rapperbot）を正しく特定し、エッジの重みは文書化されたコードの系統および脅威インテリジェンスと一致していた。インポート/エクスポートシンボルの静的解析により、高いコード再利用（例：MiraiとOkiruの間で82%の重複）が確認された。
  • SmokeLoader: 本フレームワークは、コードの継承ではなく、デリバリーチェーンの関連性（例：Amadey, RedLineとの関連）を特定した。これは、機能的な近接性を捉える能力を示している。
  • 観察された限界: 本フレームワークは、組織的な関係ではなく、機能的な類似性を捉えた。例えば、Contiエコシステム（Wizard Spiderグループ）は、ツール（バンキングトロジャン、ローダー、ランサムウェア）が特徴空間の異なる領域を占めていたため、一つのクラスターにはまとまらなかった。

5. 意義と主張

本論文は、MalTreeがマルウェア分析を 「サンプルごとの分類」から「系統を考慮した進化モデリング」へとシフトさせるための基盤 を提供すると主張している。系統学的分析が大規模なスケールで意味のある進化構造を捉えられることを示すことで、本研究は、検出戦略が特定のマルウェアファミリーの進化テンポに合わせて調整されるべきであることを示唆している。

著者らは、自身のアプローチが以下の点において既存のワークフローを補完するものであると強調している：

• 本フレームワークは、手動のリバースエンジニアリングに要する数ヶ月ではなく、数週間で進化の洞察を生み出す。
• ただし、以下の点について範囲を限定している：
  • フレームワークは 機能的 な関係（コードの再利用、共有ツールキット）を捉えるものであり、組織的 な関係（脅威アクターの属性特定）ではない。
  • コードの進化、デリバリーチェーンの関連、および偶発的な特徴空間の近接性を自動的に区別することはできない。
  • 推論された樹形図の妥当性は、「兄弟ペア内の枝の長さが短いことは、より早い出現に対応する」という「ローカルクロック」の仮定に依存しており、これは浅い分岐においては経験的に成立するが、極めて不規則な進化に対してはさらなる検証が必要である。

最終的に、MalTreeは、共進化するデジタルエコシステムを可視化し、検証するためのスケーラブルで自動化された手法を提供し、セキュリティ実務者に調査のための仮説と、マルウェアファミリーがどのように進化するかについての深い理解を提供するものである。