Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

Technische Samenvatting: Integratie van APK Beeld- en Tekstgegevens voor Verbeterde Dreigingsdetectie

Probleemstelling
De proliferatie van geavanceerde zero-day Android-malware vereist robuuste detectiemechanismen die verder gaan dan traditionele statische en dynamische analyse, die vaak kwetsbaar zijn voor obfuscatie. Hoewel recent onderzoek de effectiviteit heeft aangetoond van het converteren van Android Application Package (APK) bytecode naar beeldrepresentaties voor deep learning-gebaseerde detectie, blijven er aanzienlijke hiaten bestaan. Bestaande studies falen vaak in het systematisch evalueren van hoe beeldattributen — specifiek kleurformaat (RGB versus grijswaarden) en resolutie (bijv. 128x128, 256x256, 512x512) — de detectieprestaties beïnvloeden. Bov�ijn worden huidige beeldgebaseerde benaderingen vaak verwaarloosde waardevolle tekstuele gegevens die in APK's zijn ingebed, zoals permissies, metadata en manifestbestanden. Het potentieel om deze tekstuele kenmerken te integreren met beeldgegevens via multimodale deep learning om de detectie nauwkeurigheid te verbeteren, blijft onderbelicht.

Methodologie
De auteurs stellen een multimodaal deep learning-framework voor om deze hiaten aan te pakken via twee primaire onderzoekfasen:

1. Evaluatie van Beeldattributen (RQ1):

   • Gegevensverzameling: De studie maakte gebruik van 4.303 malware APK's en 4.039 benigne APK's uit de CIC-AndMal2017 en CICMalDroid 2020 datasets.
   • Beeldgeneratie: APK-bestanden werden gedecompileerd en omgezet in binaire stromen, en vervolgens getransformeerd in twee typen afbeeldingen: Grayscale (grijswaarden) en RGB. Deze werden gegenereerd op drie resoluties: 128x128, 256x256 en 512x512.
   • Modeltraining: Acht vooraf getrainde Convolutional Neural Network (CNN) architecturen werden getraind en getest op deze datasets: VGG-16, VGG-19, ResNet-50, ResNet-101, ResNet-152, MobileNet-V2, DenseNet-169 en EfficientNet-B4.
   • Metrieken: Prestaties werden beoordeeld met behulp van accuratesse, precisie, recall, F1-score en de Area Under the ROC Curve (AUC-ROC).

2. Multimodale Integratie (RQ2):

   • Tekstextractie & Annotatie: Tekstuele kenmerken (permissies, resources, manifestgegevens) werden geëxtraheerd uit APK's. Een Large Language Model (LLM), specifiek LLaMA-2, werd ingezet om prompt-gebaseerde annotaties te genereren die deze kenmerken samenvatten als ofwel "malicious" (kwaadaardig) of "benign" (benigne).
   • Multimodale Fusie: De geannoteerde tekst en de bijbehorende APK-afbeeldingen werden geïntegreerd in een multimodale dataset.
   • Model Evaluatie: Het CLIP (Contrastive Language-Image Pre-training) model werd gebruikt om de gecombineerde beeld-tekstgegevens op een zero-shot manier te classificeren. Dit werd vergeleken met de standalone CNN-modellen en een Quantum Neural Network (QNN) baseline.

Belangrijkste Bijdragen

• Systematische Beeldanalyse: Het artikel biedt een uitgebreide evaluatie van beeldattributen over acht CNN-architecturen, waarbij optimale configuraties voor verschillende modellen worden geïdentificeerd.
• Nieuw Multimodaal Framework: De auteurs ontwikkelden een framework dat APK-afbeeldingen combineert met door LLaMA-2 gegenereerde tekstannotaties, waarbij het CLIP-model wordt gebruikt om visuele en semantische kenmerken te fuseren.
• Dataset Bijdrage: Een beperkte multimodale dataset bestaande uit diverse geattribueerde afbeeldingen en hun bijbehorende tekstuele annotaties is gecreëerd om verder onderzoek in dit domein te ondersteunen.

Resultaten

• Beeldgebaseerde Detectie (RQ1):

  • Superioriteit van Hoge-Resolutie RGB: Voor diepere architecturen (ResNet-50, ResNet-101, ResNet-152, EfficientNet-B4) leverden RGB-afbeeldingen bij een resolutie van 512x512 de hoogste prestaties, waarbij ResNet-101 een accuratesse van 97% en een 0.9919 ROC AUC behaalde.
  • Gebalanceerde Efficiëntie: De 256x256 RGB-configuratie bood een sterke compromis tussen computationele kosten en prestaties, met name voor ResNet-152 en DenseNet-169.
  • Model-specifieke Optimalisaties: VGG-16 presteerde het best met lage-resolutie Grayscale (128x128), terwijl MobileNet-V2 een piek-accuratesse (96%) bereikte met 512x512 afbeeldingen in zowel RGB als Grayscale formaten.
  • Algemene Trend: RGB-afbeeldingen presteerden over het algemeen beter dan Grayscale-afbeeldingen voor complexe modellen, terwijl Grayscale effectiever was voor eenvoudigere modellen of lagere resoluties om overfitting te voorkomen.

• Multimodale Prestaties (RQ2):

  • Beperkt Succes van CLIP: De multimodale benadering met behulp van CLIP presteerde slecht, met slechts 50% accuratesse (gelijk aan willekeurige gokken in een binaire classificatiecontext).
  • Niet in staat tot Malware Detectie: Het CLIP-model slaagde er niet in om malware-samples te detecteren (Recall = 0.00 voor malware) en behaalde een macro F1-score van 0.33.
  • Vergelijking: Standalone beeldgebaseerde modellen, in het bijzonder ResNet-152 (71% accuratesse in de specifieke testset gebruikt voor vergelijking), presteerden aanzienlijk beter dan de multimodale CLIP-benadering. De auteurs schrijven dit toe aan de beperkte omvang van de multimodale dataset (slechts 34 beeld-tekst paren).

Betekenis en Claims
Het artikel claimt dat hoewel multimodale integratie een veelbelovende richting is, de huidige implementatie met CLIP en kleine datasets nog niet superieur is aan geoptimaliseerde beeld-alleen CNN's voor Android-malware detectie. De studie benadrukt het cruciale belang van het systematisch evalueren van beeldattributen (resolutie en kleurruimte) om de detectie-effectiviteit te maximaliseren. De auteurs concluderen dat hoge-resolutie RGB-afbeeldingen gecombineerd met diepe CNN's (zoals ResNet-152 en EfficientNet-B4) momenteel de meest effectieve oplossing bieden. Zij stellen bescheiden dat de multimodale benadering grotere, meer diverse datasets en geavanceerde fusietechnieken (voorbij zero-shot CLIP) vereist om het potentieel te realiseren voor het verbeteren van dreigingsdetectiecapaciteiten.