💻 computer science

Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

Dit artikel stelt een interpreteerbare, regelgebaseerde aanpak voor om de evolutie van malwarefamilies te detecteren en uit te leggen door gegenereerde regelsets te vergelijken om specifieke featurewijzigingen te identificeren die concept drift vormen, waardoor de robuustheid en transparantie van malwaredetectiesystemen wordt verbeterd.

Oorspronkelijke auteurs: Olha Jurečková, Martin Jureček

Gepubliceerd 2026-02-04

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Olha Jurečková, Martin Jureček

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een beveiliger bent in een museum. Jouw taak is om neppenschilderijen (malware) te herkennen en ze te onderscheiden van echte schilderijen. Om dit te doen, heb je een regelboek. Bijvoorbeeld, je regelboek zegt: "Als een schilderij een rode lijst heeft EN een blauwe achtergrond, dan is het een neppenschilderij."

Een tijdje werkt dit geweldig. Maar de vervalsers (makers van malware) worden slim. Ze beginnen hun trucjes te veranderen. Ze veranderen misschien de lijst naar groen of veranderen de achtergrond naar geel. Plotseling faalt je oude regelboek omdat de "neppenschilderijen" niet meer precies lijken op de exemplaren die je uit je hoofd hebt geleerd. In de wereld van computers wordt dit Concept Drift genoemd: de slechteriken veranderen hun stijl zo erg dat je oude detectieregels niet meer werken.

Dit artikel stelt een nieuwe manier voor om deze veranderingen te vangen en, belangrijker nog, precies uit te leggen hoe de slechteriken hun trucjes hebben veranderd.

Het Probleem: Het "Black Box"-mysterie

Meestal zijn computerprogramma's die malware detecteren als "black boxes". Ze kunnen zeggen: "Dit is slecht!" met 99% nauwkeurigheid, maar ze kunnen je niet vertellen waarom. Het is als een beveiliger die naar een schilderij wijst en simpelweg zegt: "Nep!" zonder uit te leggen welk deel van het schilderij de doorslag gaf. Dit is frustrerend, want als je niet weet wat er is veranderd, kun je je regelboek niet effectief bijwerken.

De Oplossing: Een Regelgebaseerde Detective

De auteurs van dit artikel stellen voor om een ander soort detective te gebruiken: één die eenvoudige, menselijk leesbare regels opschrijft.

In plaats van een black box, stel je een detective voor die aantekeningen maakt zoals deze:

"Regel 1: Als het bestand 500KB is EN een specifieke code-sectie bevat, dan is het de 'Agensla'-familie van malware."

Wanneer de malware evolueert, genereert de computer een nieuwe set regels voor de nieuwe, veranderde malware.

Hoe ze de verandering detecteren (de "Drift")

De onderzoekers gebruiken een slimme vergelijkingsmethode:

Het Originele Regelboek: Ze schrijven de regels op voor de "oude" versie van een malware-familie.
Het Geëvolueerde Regelboek: Ze gebruiken een speciale tool (genaamd MAB-malware) om automatisch "geëvolueerde" versies van de malware te maken die proberen de detector te passeren. Vervolgens schrijven ze de regels voor deze nieuwe versies op.
De Vergelijking: Ze vergelijken de twee regelboeken naast elkaar. Ze berekenen een "afstandsscore".
- Als de regels bijna hetzelfde zijn, is de score laag (geen drift).
- Als de regels erg verschillend zijn, is de score hoog (drift gedetecteerd!).

De Analogie: Denk aan het vergelijken van twee recepten voor chocoladetaart.

Oud Recept: "Gebruik 2 kopjes bloem, 1 kopje suiker en bak op 350°F."
Nieuw Recept: "Gebruik 2 kopjes amandelmeel, 1 kopje honing en bak op 300°F."
De "afstand" tussen deze recepten is enorm. De methode uit dit artikel zegt niet alleen "Het recept is veranderd!", maar het wijst specifiek naar de ingrediënten die zijn vervangen (bloem $\to$ amandelmeel, suiker $\to$ honing). Dit vertelt de beveiliger precies waar hij de volgende keer op moet letten.

Het Experiment

Het team testte dit op zes verschillende families van malware (zoals Agensla, DCRat en Mokes). Ze gebruikten een computerprogramma om deze malware-families te laten "evolueren", waardoor ze moeilijker te detecteren werden, en controleerden vervolgens of hun regelgebaseerde systeem de veranderingen kon opmerken.

De Resultaten:

Nauwkeurigheid: Ze waren in staat om te detecteren wanneer de malware geëvolueerd was in ongeveer 92% van de gevallen.
Helderheid: Omdat ze eenvoudige regels gebruikten, konden ze precies zien welke kenmerken (zoals bestandsgrootte of specifieke code-secties) de makers van de malware hadden veranderd om zich te verbergen.
Beste Geval: Voor één familie genaamd "Mokes" was het systeem ongelooflijk goed in het opmerken van het verschil tussen de oude en nieuwe versies.

Waarom dit ertoe doet

Het artikel beweert dat deze aanpak bijzonder is omdat het interpreteerbaar is. Het geeft niet alleen een "Ja/Nee"-antwoord; het geeft een "Waarom".

Oude Manier: "Dit is malware." (Maar je weet niet waarom).
Nieuwe Manier: "Dit is malware omdat het de file header heeft veranderd en een specifieke code-handtekening heeft verwijderd."

Door te weten hoe de malware is veranderd, kunnen beveiligingsexperts hun verdediging sneller bijwerken en de tactieken begrijpen die de slechteriken gebruiken. Het artikel concludeert dat het gebruik van deze eenvoudige, logische regels een krachtige manier is om bij te blijven in de voortdurend veranderende wereld van computervirussen.

Technische Samenvatting: Detectie en Verklaring van Evolutie in Malwarefamilies middels Regelgebaseerde Driftanalyse

Probleemstelling
Detectie en classificatie van malware zijn kritieke maar steeds moeilijkere taken vanwege de voortdurende evolutie van kwaadaardige code. Aanvallers modificeren malware constant om detectie te ontwijken, wat leidt tot concept drift—een fenomeen waarbij de statistische eigenschappen van malware-kenmerken in de loop van de tijd veranderen. Deze drift ondermijnt statische machine learning-modellen en vermindert hun effectiviteit. Bovendien missen black-box modellen, hoewel ze een hoge nauwkeurigheid kunnen bereiken, de interpreteerbaarheid; ze bieden weinig inzicht in waarom een monster als kwaadaardig wordt geclassificeerd of hoe het is geëvolueerd. Deze ondoorzichtigheid belemmert het vertrouwen van analisten en de mogelijkheid om bruikbare intelligentie af te leiden voor incidentrespons. Bestaande methoden voor driftdetectie vertrouwen vaak op complexe, ondoorzichtige modellen (bijv. diepe neurale netwerken, ensemble-methoden) of statistische kaders die er niet in slagen drift op feature-niveau te verklaren.

Methodologie
De auteurs stellen een interpreteerbaar framework voor voor het detecteren en verklaren van concept drift in malwarefamilies met behulp van een regelgebaseerde classifier. De aanpak bestaat uit drie primaire fasen:

Regelgeneratie (Origineel vs. Geëvolueerd):
- Originele Familie: Een regelgebaseerde classifier (specifiek RIPPER, geïmplementeerd via de wittgenstein bibliotheek) wordt getraind op een representatieve set originele malware-monsters om een set leesbare logische regels ( $R_{orig}$ ) te genereren. Deze regels beschrijven de structurele en gedragsmatige kenmerken van de familie.
- Geëvolueerde Familie: Adversariële varianten van de malware worden gegenereerd met behulp van MAB-malware, een reinforcement learning-gebaseerde adversariële generator. Dit hulpmiddel gebruikt een multi-armed bandit agent om minimale binaire modificaties toe te passen (bijv. het toevoegen van benign data, het op nul zetten van velden, codetransformaties) om een doelwit-classifier (EMBER) te ontwijken. Een tweede set regels ( $R_{adv}$ ) wordt gegenereerd uit deze geëvolueerde monsters met behulp van hetzelfde RIPPER-proces.
Drift Kwantificering:
- De methode vergelijkt de regelsets $R_{orig}$ en $R_{adv}$ met behulp van een genormaliseerde Hamming-afstand.
- Regels worden omgezet in binaire vectoren waarbij een '1' aangeeft dat een monster door de regel wordt gedetecteerd en een '0' anders.
- De afstandmetriek $d(x,y)$ berekent het aandeel posities waar de binaire vectoren verschillen, wat de onenigheid tussen de regelsets kwantificeert. Een significante afstand duidt op concept drift.
Drift Detectie en Verklaring:
- Beslisregel: Er wordt een drempelwaarde vastgesteld als het rekenkundig gemiddelde van de gemiddelde afstand tussen regelsets van dezelfde originele familie (intra-familie variantie) en de afstand tussen de originele en adversariële families. Als de afstand tussen nieuwe regels en historische regels deze drempelwaarde overschrijdt, wordt concept drift voorspeld.
- Interpreteerbaarheid: Omdat de classifier expliciete logische condities uitvoert (bijv. f3=72 AND f1 in [10,48]), identificeert de methode inherent welke specifieke features en waarden zijn veranderd tussen de originele en geëvolueerde monsters, wat een directe verklaring biedt van de evolutionaire tactieken van de malware.

Experimentele Opstelling
Het framework werd gevalideerd op zes malwarefamilies: Agensla, DCRat, Makoob, Mokes, Strab en Taskun.

Data: Monsters werden getrokken uit de RawMal-TF dataset.
Features: Statische features werden geëxtraheerd uit Windows Portable Executable (PE) bestanden met behulp van de LIEF-bibliotheek, inclus\de metadata, header-informatie, sectiestatistieken, geïmporteerde/geëxporteerde functies en byte-niveau distributies.
Adversariële Generatie: MAB-malware werd gebruikt om adversariële monsters te creëren die de EMBER-classifier succesvol hebben ontwijkt.
Dimensies: Experimenten werden uitgevoerd over feature vector dimensionaliteiten van 3, 5, 10, 15, 25, 50, 75 en 100.

Belangrijkste Resultaten

Detectienauwkeurigheid: De voorgestelde methode behaalde een algehele concept drift detectie nauwkeurigheid van 92,08% over alle zes de families en dimensionaliteiten.
Familie-specifieke Prestaties:
- Agensla en Mokes behaalden 100% nauwkeurigheid over alle dimensionaliteiten.
- Taskun vertoonde één fout (uit 80 experimenten) bij de 100-dimensionale instelling.
- DCRat vertoonde de hoogste foutmarge (22,5% totaal), hoewel het 0% fout bereikte bij de 25-dimensionale instelling.
Drift Magnitude: De studie toonde aan dat de afstandmetriek de omvang van de drift effectief kwantificeert. Voor de Mokes-familie was de afstand tussen de originele en adversariële regelsets tot 15 keer groter dan de afstand tussen de regelsets afgeleid van verschillende subsets van dezelfde originele familie.
Interpreteerbaarheid: De regelgebaseerde aanpak identificeerde succesvol de specifieke feature-veranderingen die verantwoordelijk waren voor de evolutie, wat het onderscheidt van black-box driftdetectiemethoden.

Betekenis en Bijdragen
Het artikel stelt dat de primaire bijdrage het overbruggen van de kloof tussen effectieve driftdetectie en praktische forensische analyse is door prioriteit te geven aan interpreteerbaarheid. In tegen tegenstelling tot bestaande statistische of deep-learning benaderingen die als black boxes opereren, biedt dit framework:

Expliciete Nadruk op Interpreteerbaarheid: Door gebruik te maken van regelgebaseerde classifiers, biedt het menselijk leesbare beschrijvingen van zowel de originele als de geëvolueerde malware.
Maakt Verklaring op Feature-niveau Mogelijk: Het identificeert de specifieke condities en features die verantwoordelijk zijn voor drift, waardoor analisten kunnen begrijpen hoe malware-auteurs detectie omzeilen (bijv. specifieke veranderingen in API-gebruik of header-velden).
Kwantificeert Evolutie: Het biedt een rigoureuze, kwantitatieve maatstaf voor drift terwijl het tegelijkert de onderliggende gedragsveranderingen verklaart.

De auteurs positioneren dit werk als een van de eerste studies die een interpreteerbaar, regelgebaseerd framework specifiek toepast voor concept drift detectie in malware-analyse, met als doel zowel detectiesystemen als dreiganalyse-inspanningen te ondersteunen. Toekomstig werk kan dit framework potentieel uitbreiden met beslissingsbomen en het verkennen van verschillende afstandmetrieken.

Het Probleem: Het "Black Box"-mysterie

De Oplossing: Een Regelgebaseerde Detective

Hoe ze de verandering detecteren (de "Drift")

Het Experiment

Waarom dit ertoe doet

Meer zoals dit