Tri-Modal Contrastive Binary Analysis via Opcode Transformers, Control Flow Graph Isomorphism Networks, and System Call Embeddings: A Systematic Review of Zero-Day Malware Detection Frameworks

デジタル世界において、ソフトウェアはしばしば「封印された箱」のように扱われます。プログラムが何を行うかを理解するために、セキュリティの専門家は伝統的に、整備士がエンジンを点検するように、そのコードを調べます。彼らは生の命令を読み取ったり、プログラムがどのように一つのタスクから別のタスクへと移動するかというマップを確認したり、あるいはプログラムが実行される際に何が起こるかを観察したりします。数十年の間、これらの手法は既知の脅威を捉えるには十分に機能してきました。しかし、状況は一変しました。現代の攻撃者は、ソフトウェアを偽装することを学び、悪意のあるプログラムを暗号化の層で包んだり、内部ロジックを組み替えたりすることで、たとえ挙動が危険であっても、コードが無害であるかのように見せかける術を身につけました。プログラムを見る方法がたった一つでは、その偽装があまりに巧妙で失敗してしまうとき、防御システム全体が盲目になってしまいます。ここに決定的なギャップが生じます。標準的な検査ツールのすべてから逃れることができるように隠蔽された、全く新しい未知の脅威を、どのようにして察知すればよいのでしょうか。

インドのサンディップ技術研究センターの研究チームは、このパズルを解くための高度なアプローチに関する包括的な分析を行いました。彼らは、単一の検査手法に頼るのではなく、既存のハイテクシステムがどのようにして3つの異なるレンズを通してソフトウェアを見ているかをレビューしました。この「トリモーダル（三様式）」アプローチは、3つの異なる種類の分析を単一の統合された視点へと組み合わせるものです。すなわち、生のアセンブリ命令を読み取り、プログラムの構造的フローをマッピングし、そしてプログラムが実行中にコンピュータのオペレーティングシステムとどのように相互作用するかを観察するというものです。これらのフレームワークがいかにして「そのソフトウェアが何であるか」について3つの異なる視点を一致させるかを検証することで、このレビューは、攻撃者がそれらの視点の1つまたは2つから隠そうとしたとしても、悪意のあるコードを特定できることを示しています。

研究者たちは、ラボでテストするための新しいウイルス検出器を一から構築したのではなく、既存のハイテク研究の系統的なレビューを行いました。彼らは、2020年から2026年の間に発表された15の主要な研究と50以上の関連論文を収集し、分析しました。彼らの目的は、最も困難な課題、すなわち「ゼロデイ・マルウェア（未知の新しいマルウェア）」や「高度に難読化されたコード（分析を混乱させるために意図的にスクランブルされたコード）」に直面した際に、これらの高度なシステムがどの程度機能するかを確認することでした。その結果、最も効果的なシステムは、単に異なる手法の結果を加算するのではなく、コード、構造、そして挙動の間の深い繋がりをシステムが学習できるように、それらを融合させたものであることが分かりました。

彼らの発見の核心は、これらの視点を組み合わせることが「安全網」を生み出すという点にあります。もし攻撃者が、命令の読み取り器が理解できないようにコードをスクランブルするテクニックを用いたとしても、構造的なマップは依然としてプログラムの真の姿を明らかにできるかもしれません。そして、もし攻撃者がマップを混乱させるために構造を変更したとしても、システムはプログラムがオペレーティングシステムとどのように対話するかを見ることで、真実を見つけ出すことができます。研究者たちは、これら3つの視点を一致させるために、最高のフレームワークで使用されている特定の数学的戦略を特定しました。この戦略は、コンピュータに対し、同じプログラムのコード、構造、および挙動を、表面上は非常に異なって見えても、あたかも同一のオブジェクトであるかのように扱うよう強制するものです。システムが新しい未知のファイルに遭遇したとき、システムはこれら3つの視点が同じ結論を指しているかどうかをチェックします。もしそれらが同じ結論を指していれば、それは安全である可能性が高いと判断されます。もしそれらが悪意のあるパターンを指していれば、たとえそのファイルが一度も見られたことがなくても、システムはそれをフラグ立てします。

このレビューにおける最も重要な発見の一つは、システムがどのように「欺瞞」に対処するかという点です。攻撃者は、プログラムの速度を落としたり、無害なファイルのように見せかける方法で隠れたりすることで、セキュリティソフトウェアを欺こうとすることがよくあります。研究者たちは、最も堅牢なシステムはスマートな「重み付けメカニッチズム」を使用していることを見出しました。これは、3人の目撃者が容疑者について記述しているのを聴いている警備員を想像してください。もし一人の目撃者が嘘をついていたり混乱していたりしても、警備員は他の二人の目撃者を無視するのではなく、一貫した物語を話している目撃者の方により注意を払います。同様に、このフレームワークは、3つの「目撃者」のうち一人が攻撃によって騙されていることを自動的に検出し、焦点を作戦的に他の二つへと移します。これにより、システムは攻撃者が隠蔽のための巧妙なトリックを使用している場合でも、しばしば98.5パーセントを超える高い精度を維持することができます。

また、本研究は、このテクノロジーの実用的な限界についても強調しました。システムは非常に正確ですが、コストがかからないわけではありません。3つの異なるレンズを通してプログラムを分析するには、膨大な計算能力と時間を必要とします。研究者たちは、プロセスの一部は非常に高速である一方で、シミュレーション環境内でプログラムを実行して観察する部分は、ファイルあたり数分かかることがあり、これは毎日何千ものファイルをチェックするには遅すぎると指摘しました。しかし、このレビューは、これらの高度な整合技術を用いることで、セキュリティシステムは将来的に、静的なコードを見るだけでプログラムの挙動を予測できるようになり、潜在的に、時間がかかる実行時のチェックの必要性を排除できる可能性があることを示唆しています。これにより、迅速なスキャンのスピードと、深い挙動分析の正確さを両立させることが可能になります。

研究者たちは、マルウェア検出の未来は、このような「多角的なインテリジェンス」にあると結論付けました。彼らは、コードを見るか挙動を見るかといった単一の手法に頼ることは、現代の脅威に対してはもはや不十分であると主張しました。進むべき道は、異なるソースからの情報を統合し、プログラムの意図の完全な全体像を作り出すことができるシステムを構築することにあります。より強力なコンピュータによる複雑なデータの処理や、異なるタイプのハードウェアへの適応といった課題は依然として残っていますが、このレビューは、このアプローチが、増え続けるゼロデイ脅威の問題に対する有望な解決策であることを裏付けています。彼らの研究は、セキュリティチームが、シグネチャが現れるのを待つ「反応的な防御」から、プログラムがどのように隠れようとも、その根本的な性質によって脅威を認識できる「プロアクティブな検知」へと移行するためのロードマップを提供しています。