Technische Samenvatting: Transparante Malware Detectie met Granulaire Assembly Flow Explainability via Graph Neural Networks

Probleemstelling

Naarmate malware steeds geavanceerder en sluwder wordt, moeten detectiesystemen even intelligent en transparant evolueren. Hoewel Graph Neural Networks (GNN's) toegepast op Control Flow Graphs (CFG's) veelbelovend zijn gebleken voor malware-detectie, lijden ze aan een gebrek aan intrinsieke verklaarbaarheid. Bestaande GNN-gebaseerde methoden voor verklaarbaarheid toegepast op CFG's kampen met een kritieke beperking: CFG-nodes representeren "basic blocks" (sequenties van niet-vertakkende instructies), wat betekent dat de individuele assembly-instructies binnen die blokken verborgen blijven. Bijgevolg kunnen GNN's geen granulaire, instructie-niveau verklaringen bieden, wat leidt tot ambiguïteit over welke specifieke instructies een kwaadaardige voorspelling drijven. Bovendien maakt de enorme schaal van Assembly Flow Graphs (AFG's), die elke instructie als een node representeren, de directe toepassing van GNN's voor preprocessing, embedding en training computationeel onuitvoerbaar.

Methodologie

De auteurs stellen een nieuw framework voor dat gecentreerd is rond de Assembly Flow Graph (AFG) en een Meta-Coarsening benadering om granulaire verklaarbaarheid mogelijk te maken terwijl de computationele haalbaarheid behouden blijft.

1. Graafconstructie

• Assembly Flow Graph (AFG): In tegen tegenstelling tot traditionele CFG's, waarbij nodes basic blocks zijn, vervangt de AFG elke CFG-node door een enkelvoudig gelinkte lijst van de constituerende sequentiële assembly-instructies. Edges worden opnieuw gerouteerd om de kop en staart van deze instructielijsten te verbinden, waardoor een graaf ontstaat waar elke node een enkele instructie representeert.
• Instructie-encoding: Instructies worden gecodeerd met behulp van een 1.103-bits vector afgeleid van de Capstone library, die opcodes, prefixes en diverse flags vastlegt.

2. Meta-Coarsening Benadering

Om de computationele kosten van grote AFG's aan te pakken, introduceren de auteurs een twee-fasen "Meta-Coarsening" pijplijn:

• Fase 1: CFG Coarsening (C-CFG): In plaats van de enorme AFG direct te vergroven (coarsening), vergroeven de auteurs de onderliggende CFG (de "meta-structuur"). Dit is computationeel beheersbaar en behoudt de structurele gelijkenis met de AFG. Een GNN wordt getraind op deze Coarsened CFG's (C-CFG's), en een explainer identificeert belangrijke subgrafen op dit niveau.
• Fase 2: Backtracking en B-AFG Training: De belangrijke subgrafen die in de C-CFG zijn geïdentificeerd, worden via de hiërarchie teruggevoerd ("backtracked") naar de oorspronkelijke AFG, wat een Backtracked AFG (B-AFG) dataset creëert. Deze B-AFG bevat alleen de specifieke instructie-niveau nodes die relevant zijn voor de verklaring. Een tweede, aparte GNN wordt getraind op deze B-AFG's om uiteindelijke, granulaire verklaringen op het niveau van de assembly-instructie te genereren.

3. Evaluatiemetrieken

Het paper introduceert en gebruikt verschillende metrieken om de kwaliteit van de verklaring te kwantificeren:

• Fidelity Scores ($fid^+$ en $fid^-$): Het meten van noodzakelijkheid (het verwijderen van de subgraaf verandert de voorspelling) en voldoendeheid (het behouden van enkel de subgraaf behoudt de voorspelling).
• Characterization Score ($\lambda$): Een gewogen harmonisch gemiddelde van fidelity scores, aangepast om de overeenstemming tussen de C-CFG en B-AFG niveaus te meten.
• $\beta$ Indicator Score: Een nieuwe metriek om ambiguïteit te detecteren. Het geeft 0 terug als verklaringen binair zijn (duidelijk) en een positieve waarde als ze niet-binair zijn (ambigu), specifiek gericht op het verschil tussen basic block-niveau (ambigu) en instructie-niveau (onambigu) verklaringen.

Belangrijkste Bijdragen

1. Assembly Flow Graph (AFG): De voorstel van een nieuwe graafrepresentatie die de volledige assembly-instructieflow van een binaire uitvoerbare file vastlegt, wat instructie-niveau granulariteit mogelijk maakt.
2. Meta-Coarsening: Een nieuwe benadering om de computationele hanteerbaarheid te verbeteren door de CFG te vergroven om de AFG-vergroving te benaderen, waardoor het mogelijk is om GNN's op grootschalige data te trainen terwijl de mogelijkheid behouden blijft om terug te keren naar het instructieniveau.
3. Granulaire Verklaarbaarheid: De eerste demonstratie van GNN-gebaseerde malware-detectie die verklaringen biedt op het specifieke niveau van de assembly-instructie, wat de ambiguïteit die inherent is aan basic block-niveau CFG's oplost.
4. Nieuwe Metrieken: De definitie van de $\beta$ indicator score om de granulariteit van de verklaring empirisch te meten en de aanpassing van de $\lambda$ score om de cross-level consistentie van de verklaring te evalueren.
5. Hyperparameter Controle: De identificatie van hyperparameters (coarsening coefficient $r$ en selection policy $\epsilon$) die gebruikers in staat stellen om de balans te vinden tussen computationele vereisten en de expressiviteit van de verklaring.

Experimentele Resultaten

De benadering werd geëvalueerd met de CIC-DGG-2025 dataset, die Windows PE x86 binaries bevat.

• Inference Prestaties: De Meta-Coarsening benadering bereikte een concurrerende tot superieure nauwkeurigheid vergeleken met baselines. Specifiek leverden de Kron coarsening methode met een coefficient $r=0.25$ en Variation Edges met $r=0.75$ de beste resultaten (tot 89,8% gemiddelde nauwkeurigheid), wat suggereert dat matige coarsening kan fungeren als een regularisator die generalisatie verbetert.
• Verklaarbaarheid:
  • De $\lambda$ score was het hoogst (0.713) voor Kron met $r=0.25$, wat duidt op een sterke overeenstemming tussen de grove en fijnmazige verklaringen.
  • Fidelity Analyse: Het C-CFG niveau vertoonde een hoge noodzakelijkheid ($fid^+$), wat betekent dat het verwijderen van geïdentificeerde subgrafen leidde tot misclassificatie. Het B-AFG niveau vertoonde een hoge voldoendeheid ($fid^-$), wat betekent dat de geselecteerde instructie-subgrafen alleen voldoende waren om de correcte voorspelling te behouden.
  • Granulariteit: De $\beta$ indicator was 1 voor alle (C-)CFG niveaus (wat ambiguïteit aangeeft) en 0 voor alle B-AFG niveaus (wat onambigu, binair instructie-niveau verklaringen aangeeft).
• Klassenverschillen: De studie observeerde dat benign samples over het algemeen meer verklaarbaar waren dan malicious samples. Malicious klassen vertoonden lagere characterization scores, wat suggereert dat ze moeilijker te verklaren of consistent te voorspellen zijn.

Betekenis en Claims

Het paper claimt de eerste te zijn die granulaire verklaarbaarheid in malware-detectie overweegt met behulp van GNN's op het niveau van de assembly-instructie. De auteurs benadrukken dat hoewel eerdere werken CFG's of opcode-grafen hebben gebruikt, zij niet in staat waren om onambiguïteit op instructieniveau te bieden vanwege de aggregatie van instructies in basic blocks.

De betekenis van dit werk ligt in het vermogen om:

• Transparante detectiesystemen te bieden waarbij verdedigers precies kunnen begrijpen welke instructies bijdragen aan een kwaadaardige classificatie.
• De computationele barrières te overwinnen voor het toepassen van GNN's op massieve instructie-niveau grafen via de Meta-Coarsening strategie.
• Een framework aan te bieden voor het controleren van de trade-off tussen grafengrootte en de detailgraad van de verklaring via hyperparameters.

De auteurs concluderen dat hun benadering er succesvol in is geslaagd om assembly-niveau verklaringen te bieden, wat dient als een fundament voor toekomstig werk op het gebied van grootschalige malware-detectie verklaarbaarheid en het ondersteunen van verdedigers bij het karakteriseren van malware-gedrag. Ze erkennen beperkingen met betrekking tot de generalisatie naar andere binaire formaten en de potentie voor adversariële evasie, waarbij zij opmerken dat toekomstig werk adversariële training of statische generatiemethoden kan verkennen om deze problemen te mitigeren.