Ultra-Fusion: A Multimodal Dynamic Detection Framework for Malware Classification with Hybrid Sequence Engine

デジタル世界において、ソフトウェアプログラムは、コンピュータに何をすべきかを伝える長い命令のリストから構築されています。プログラムが悪意のあるものである場合、それはマルウェアと呼ばれ、コードを難読化したり、自身の命令を無害なものと混ぜ合わせたりすることで、その真の姿を隠すことがよくあります。数十年にわたり、セキュリティの専門家は、まるで司書が禁止された物語のリストと本のタイトルを照合するように、特定の既知のパターンを探すことで、これらの脅威を捕まえようとしてきました。しかし、現代のマルウェアはあまりにも巧妙になり、単純なチェックでは通用しないほど進化しました。開かれるたびに、まるで異なる本であるかのように外見を絶えず変化させるのです。これを解決するために、研究者たちは、プログラムが実行されている間の挙動を観察し、オペレーティングシステムに対して行われる特定の要求に細心の注意を払う手法へと転換しました。APIコールとして知られるこれらの要求は、行動の指紋としての役割を果たす一連のシーケンスを形成します。現在の課題は、マルウェアがリストの中に偽の無害な要求を挿入して読み手を混乱させようとしても、これらの指紋を迅速かつ正確に読み取ることです。

ある研究チームは、3つの異なる角度から同時にマルウェアの挙動を見ることで、この問題に取り組む「Ultra-Fusion」と呼ばれる新しいシステムを開発しました。データの分析において単一の方法に頼るのではなく、彼らの手法は、視覚的なスナップショット、イベントのタイムライン、そして統計的な要約を一つの強力な意思決定へと統合します。研究者たちは、生のシステム要求のリストをカラー画像へと変換しました。そこでは、異なる色が、要求の識別、発生頻度、および実行されたタスクの種類を表しています。これにより、要求の順序が入れ替えられたとしても、画像認識ツールを用いて、悪意のあるプログラム特有の「質感」を特定することが可能になりました。同時に、彼らは長いイベントの連鎖を理解するために設計された特化型のエンジンを使用し、システムが時間的に離れた場所で行われたアクション同士の繋がりを記憶するのを助けました。攻撃者が足跡を隠すためにジャンクデータを挿入するというトリックに対抗するため、彼らは、特定の順序ではなく全体の頻度に依存するセーフティネットとして、リスト全体における各要求の種類の出現回数を単純にカウントする第3のレイヤーを追加しました。

チームがこの新しいフレームワークを3つの異なるマルウェアデータセットでテストしたところ、結果は極めて一貫していました。このシステムは、最大のデータセットにおいて99.49%の精度を達成し、ほぼすべてのケースで悪意のあるソフトウェアを正しく特定しました。この性能は、イベントのシーケンスのみ、あるいは視覚的パターンのみに依存するような、他の主要な手法よりも優れていました。研究者たちは、これら3つの視点の組み合わせが不可欠であることを発見しました。システムからいずれか一つの部分を取り除くと精度が低下したことから、各角度が独自の、かつ必要な情報を提供していることが証明されました。また、このシステムは脅威を非常に早期に検知する強力な能力も示し、わずか最初の10個のシステム要求を見ただけでマルウェアを正しく特定できました。これは、攻撃が被害をもたらす前に阻止するために極めて重要です。

おそらく最も重要な発見は、意図的な混乱に直面しても冷静さを保つシステムの能力でした。研究者たちは、悪意のあるコードが良質なコードの海の中に隠れようとする攻撃をシミュレートするために、マルウェアの指示リストの中に無害な命令を挿入してフレームワークをテストしました。リスト内の命令の半分が偽物であったとしても、システムは高い精度を維持しましたが、従来のメソッドは著しく苦戦しました。この回復力は、視覚的および統計的な部分が安定したアンカーとして機能し、ソフトウェアがノイズを見抜き、核心となる悪意のある挙動を認識できるようにしていることを示唆しています。さらに、このシステムは高い適応性を示しました。あるデータセットで学習させた後、全く異なるデータセット内のマルウェアをほぼ完璧な精度で認識することができ、これはシステムが特定の例を単に暗記したのではなく、悪意のある挙動の根本的な性質を学習したことを示しています。

研究者たちはまた、データの最も重要な部分を強調するテクニックを用いて、システムがどのように意思決定を行っているのかという内部構造も調査しました。彼らは、システムが特定の高リスクな相互作用、例えば隠されたコードのロード試行や、別のプログラムのメモリへの書き込みといった、攻撃の典型的な兆候に注意を向けていることを発見しました。この透明性は、システムが推測しているのではなく、真に危険なパターンを特定していることを裏付けています。3つの異なる視点を組み合わせることで、Ultra-Fusionフレームワークはサイバーセキュリティにおける堅牢な新しいツールを提供します。脅威を複数のレンズを通して同時に捉えることで、セキュリティシステムは、絶えず進化する脅威の中で、目に見えないものや偽装されたものを特定する上でより効果的になれることを、この研究は実証しています。