Technische Samenvatting: Een decompileringsgestuurd framework voor malwaredetectie met Large Language Models

Probleemstelling

Traditionele op signatures gebaseerde methoden voor malwaredetectie worden steeds minder effectief tegen nieuwe malwarevarianten die gebruikmaken van geavanceerde obfuscatie, polymorfe transformaties en ongeziene aanvalsvectoren. Hoewel Kunstmatige Intelligentie (AI) en Large Language Models (LLMs) veelbelovend zijn gebleken in codebegrip en semantische analyse, blijft hun directe toepassing op gedecompileerde executable code voor malwareclassificatie een onverkend gebied. Eerdere studies leunden vaak op hypothetische datasets of misten praktische toepasbaarheid in de echte wereld, en bestaande industriële benaderingen missen vaak methodologische transparantie. Bovendien is er een kritieke behoefte om te bepalen of LLMs robuust kunnen fungeren als vervanging voor of aanvulling op traditionele anti-virussoftware in productieomgevingen, vooral gezien de snelle evolutie van kwaadaardige programmeerpatronen.

Methodologie

De auteurs stellen een geautomatiseerde pipeline voor die de brug slaat tussen low-level binaire analyse en high-level semantisch begrip door middel van de combinatie van reverse engineering-tools met state-of-the-art LLMs.

1. Decompileringspipeline: Het systeem maakt gebruik van de Ghidra disassembler om Windows executable binaries te decompileren naar menselijk leesbare C-code. Deze intermediaire representatie dient als input voor de LLMs.
2. Datasetconstructie:
   • Baseline Dataset: Afgeleid van het boek Malware Data Science (2017), bestaande uit 240 "Backdoor" malware-samples en 365 benign (onschuldige) samples. Een subset werd geselecteerd om ervoor te zorgen dat de gedecompileerde tekst de tokenlimieten van de LLM niet overschreed.
   • Hedendaagse Dataset: Samengesteld in 2025 uit Malware Bazaar, bevattende 120 nieuwe malware-samples verspreid over 49 families (bijv. LummaStealer, XWorm) en 28 benign systeemdrivers. De benign set werd bewust geselecteerd op basis van "malware-achtige" low-level kernelinteracties om een uitdagende classificatiegrens te creëren.
3. Classificatiestrategie:
   • Prompt Engineering: Er werd een gestandaardiseerde zero-shot prompt ontworpen om de LLM de instructie te geven te fungeren als een cybersecurity-expert, de C-code te analyseren op verdachte functies/API's, regels toe te passen (bijv. YARA) en een strikte JSON boolean (True/False) te genereren.
   • Model Evaluatie: Verschillende "vanilla" (pre-trained) LLMs (Llama 3.3 70B, Codestral, Claude 3.7 Sonnet, Gemini 2.5 Pro) werden geëvalueerd tegen de baseline dataset.
   • Fine-Tuning: Het best presterende vanilla model (Gemini 2.5 Pro) werd supervised fine-tuned op een gecureerde subset van 200 samples (100 kleinste malware, 100 kleinste benign) via Google Cloud Vertex AI over 40 epochs.
4. Veiligheidsprotocollen: Alle analyses werden uitgevoerd in geïsoleerde, air-gapped virtuele machines met versleutelde opslag en snapshot-reversie om malwareverspreiding te voorkomen.

Belangrijkste Resultaten

De evaluatie vergeleek vanilla LLMs, een fine-tuned LLM en een traditionele XGBoost-classifier getraind op statische analysekenmerken.

• Vanilla LLM Prestaties: Op de 2017 baseline data toonden vanilla LLMs veelbelovendheid, maar waren ze inconsistent. Gemini 2.5 Pro kwam naar voren als de sterkste kandidaat met 80,1% nauwkeurigheid, waarmee het andere LLMs overtrof, maar nog steeds achterbleef bij de XGBoost-classifier, die 98,5% nauwkeurigheid behaalde op dezelfde bekende dataset.
• Impact van Fine-Tuning: Bij evaluatie op de 2025 Hedendaagse Dataset presteerde het fine-tuned Gemini 2.5 Pro model significant beter dan zijn vanilla tegenhanger en de traditionele XGBoost-modellen.
  • Fine-tuned LLM: Behaalde 83,2% nauwkeurigheid, 94,4% precisie en 84,2% recall.
  • Vanilla LLM: Daalde naar 64,2% nauwkeurigheid op de nieuwe data.
  • XGBoost Classifier: De prestaties degradeerden aanzienlijk naar 74,3% nauwkeurigheid, wat de broosheid van traditionele modellen onderstreept wanneer zij geconfronteerd worden met evoluerende dreigingen die niet aanwezig waren in hun trainingsdata.
• Generalisatie: De studie toont aan dat hoewel vanilla LLMs moeite hebben met nieuwe dreigingen, een gespecialiseerd, fine-tuned model beter kan generaliseren dan traditionele statische analyse-methoden tegen opkomende malwarefamilies.

Betekenis en Claims

Het artikel stelt dat decompileringsgestuurde LLM-analyse een levensvatbaar nieuw front voor automatische dreigingsdetectie vertegenwoordigt, mits aan specifieke voorwaarden wordt voldaan:

1. Noodzaak van Fine-Tuning: De primaire bijdrage is de demonstratie dat fine-tuning op domeinspecifieke, gecureerde data essentieel is. Vanilla modellen zijn, ondanks hun algemene codebegrip, niet robuust genoeg om traditionele anti-virussoftware te vervangen zonder gespecialiseerde training.
2. Aanpassingsvermogen vs. Broosheid: De resultaten benadrukken een kritieke afweging: traditionele machine learning-modellen (zoals XGBoost) zijn zeer accuraat op bekende data maar broos tegen nieuwe dreigingen, terwijl fine-tuned LLMs een superieur aanpassingsvermogen bieden aan evoluerende programmeerpatronen en gedragingen.
3. Vereiste van Continue Evolutie: Het artikel claimt expliciet dat zelfs gespecialiseerde modellen degraderen wanneer ze nieuwere malware tegenkomen. Daarom is het behoud van de effectiviteit van het model afhankelijk van continue fine-tuning met opkomende dreigingen om het tempo van veranderende kwaadaardige gedragingen bij te houden.
4. Praktische Implementatie: Door authentieke malware-samples te gebruiken en beperkingen rondom tokenlimieten aan te pakken via sampleselectie, beweegt dit werk voorbij hypothetische scenario's om praktische toepasbaarheid in productie-relevante settings aan te tonen.

De auteurs concluderen dat hoewel LLMs nog geen volledige vervanging zijn voor bestaande security stacks, ze een krachtige, aanpasbare laag voor detectie bieden die, wanneer gecombineerd met continue hertraining, de beperkingen van signature-gebaseerde en statische analyse-methoden kan aanpakken. Toekomstig werk suggereert de integratie van dynamische executietraces en het verkennen van domeinspecifieke pre-training om betrouwbaarheid en verklaarbaarheid verder te verbeteren.