💻 computer science

MalTree: Tracing Malware Evolution from Embeddings at Scale

Het artikel introduceert MalTree, een schaalbaar framework dat bio-informatische fylogenetische technieken aanpast om automatisch de evolutie van malware te modelleren met behulp van structurele, gedragsmatige en op afbeeldingen gebaseerde kenmerken, waarbij 87% temporele consistentie wordt bereikt en proactieve, lineage-bewuste defensiestrategieën mogelijk worden gemaakt.

Oorspronkelijke auteurs: Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Gepubliceerd 2026-06-08

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je de wereld van computervirussen (malware) niet voor als een chaotische stapel willekeurige slechte code, maar als een enorme, evoluerende stamboom, vergelijkbaar met de geschiedenis van de mensheid of de verspreiding van een griepvirus.

Al een lange tijd spelen beveiligingsexperts een spelletje "whack-a-mole" (op de mol slaan). Ze wachten tot er een nieuw virus verschijnt, bestuderen het, en bouwen dan een schild om het te stoppen. Maar tegen de tijd dat ze het schild hebben gebouwd, heeft het virus alweendig van gezicht veranderd, is erdoorheen geglipt en een nieuwe versie gecreëerd.

Dit artikel, MalTree, stelt een manier voor om te stoppen met het spelen van whack-a-mole en te beginnen met het begrijpen van de familiegeschiedenis in plaats.

Hier is de uitsplitsing van hoe ze het deden, met behulp van eenvoudige analogieën:

1. Het Probleem: Het "Reactieve" Spel

Denk aan malware-detectie zoals een uitsmijter bij een club. De uitsmijter heeft een lijst met bekende boeven (signatures). Als iemand op een boef op de lijst lijkt, wordt hij eruit geknikkerd. Maar de boeven zijn slim; ze dragen vermommingen (encryptie) of veranderen hun kleding (polymorfisme) om er anders uit te zien. Tegen de tijd dat de uitsmijter de lijst heeft bijgewerkt, heeft de boef zichzelf alweer veranderd.

De auteurs stellen dat we, in plaats van alleen naar individuele "boeven" te kijken, naar hun familieboom moeten kijken. Als we weten dat "Virus A" de ouder is van "Virus B", en "Virus B" de ouder is van "Virus C", dan kunnen we voorspellen hoe "Virus D" eruit zal zien voordat het zelfs maar is verschenen.

2. De Oplossing: MalTree (De Digitale Genealogist)

De onderzoekers bouwden een hulpmiddel genaamd MalTree. In plaats van de code regel voor regel te lezen (wat is also hers het proberen te lezen van een boek in een taal die je niet spreekt), gebruikten ze een methode geleend uit de biologie genaamd Fylogenetica.

Het DNA van Malware: In de biologie vergelijken wetenschappers DNA om te zien hoe nauw twee dieren aan elkaar verwant zijn. MalTree doet hetzelfde met malware. Het neemt een virus en verandert dit in een "vingerafdruk" (een embedding genoemd).
Drie Soorten Vingerafdrukken: Om een compleet beeld te krijgen, keken ze niet naar slechts één ding. Ze keken naar drie verschillende "hoeken":
1. Het Skelet (Statisch): Hoe de code eruitziet wanneer deze bevroren is (zoals het bekijken van een automotorblok).
2. Het Gedrag (Dynamisch): Wat het virus doet wanneer het draait (zoals het observeren van een auto die rijdt om te zien of hij te hard rijdt of zwalkt).
3. Het Visuele (Afbeelding): Ze veranderden de code in een afbeelding (zoals een streepjescode) en gebruikten AI om patronen te "zien", vergelijkbaar met hoe een mens een gezicht herkent.

Ze combineerden deze drie weergaven tot één enkele, zeer gedetailleerde vingerafdruk voor elk virus.

3. Het Bouwen van de Boom

Zodra ze de vingerafdrukken hadden, gebruikten ze wiskunde (specifiek algoritmen genaamd UPGMA en Neighbor-Joining) om te berekenen hoe "verschillend" elk virus is van elk ander virus.

Als twee virussen zeer vergelijkbare vingerafdrukken hebben, worden ze dicht bij elkaar in de boom geplaatst (broers/zussen).
Als ze zeer verschillend zijn, worden ze ver uit elkaar geplaatst (verre neven/nichten).

Ze deden dit voor 103.883 verschillende malware-monsters. Dat is een enorme familie-reünie!

4. De "Tijdmachine"-check

Een grote vraag is: Is deze boom daadwerkelijk echt, of heeft de computer gewoon geraden?

Om te bewijzen dat het werkt, gebruikten de onderzoekers VirusTotal-tijdstempels (de datum waarop een virus voor het eerst op het internet werd gemeld).

De Logica: In een echte stamboom moet de "ouder" bestaan vóór de "kind".
De Test: Ze controleerden of de virussen die eerder in de tijd verschenen, ook daadwerkelijk hoger op de boom stonden (dichter bij de wortel) dan de virussen die later verschenen.
Het Resultaat: Het werkte 87% van de tijd. Dit betekent dat de boom die zij hebben gebouwd overeenkomt met de echte geschiedenis van hoe deze virussen evolueerden.

5. Wat ze Vonden (De "Aha!" Momenten)

Het artikel belicht een paar belangrijke ontdekkingen met behulp van deze boom:

Verschillende Snelheden: Net zoals sommige families elk jaar kinderen krijgen en andere een decennium wachten, evolueren sommige malwarefamilies zeer langzaam, terwijl andere extreem snel muteren. Eén familie (Bashlite) veranderde meer dan 10 keer sneller dan anderen. Dit suggereert dat beveiligingsteams niet een "one-size-fits-all" verdediging kunnen gebruiken; ze moeten hun snelheid afstemmen op de specifieke virusfamilie.
De Mirai Botnet: Ze volgden het beroemde Mirai-virus (dat in 2016 zorgde voor een enorme internetblackout). De boom identificeerde correct de "kinderen" ervan, inclusief Bashlite, Okiru en Gafgyt. Dit kwam overeen met wat menselijke experts al jarenlang wisten door middel van handmatige onderzoeken, wat bewijst dat de computer in uren kan doen waar mensen maanden over doen.
Het "Hub"-probleem: Ze ontdekten dat sommige virussen fungeren als "bezorgwagens" (loaders) die veel verschillende soorten kwaadaardige payloads vervoeren. De boom toonde deze verbindingen, maar waarschuwde ook dat virussen soms verwant lijken omdat ze dezelfde tools gebruiken, en niet omdat ze daadwerkelijk familie van elkaar zijn.

De Kernboodschap

MalTree is een hulpmiddel dat de chaotische bende van computervirussen omzet in een georganiseerde stamboom. Door de familiegeschiedenis te begrijpen, kunnen beveiligingsexperts stoppen met alleen maar te reageren op de nieuwste vermomming en beginnen met het anticiperen op hoe de virusfamilie zich vervolgens zal evolueren.

Het is alsof je overstapt van het proberen te vangen van een enkele dief in het donker naar het hebben van een kaart van de gehele criminele onderwereld, waarbij je precies weet wie aan wie verwant is en waar ze waarschijnlijk als volgende zullen toeslaan.

Technische Samenvatting: MalTree – Het traceren van de evolutie van malware via embeddings op schaal

1. Probleemstelling

Huidige paradigma's voor malwaredetectie zijn fundamenteel reactief. Machine learning-modellen die getraind zijn op bekende monsters degraderen naarmate dreigingen evolueren door polymorfisme, metamorfisme en obfuscatie. Hoewel het begrijpen van evolutionaire relaties tussen malwarefamilies de proactieve defensie zou kunnen informeren, is traditionele reverse engineering om afstamming te achterhalen traag en duurt dit vaak maanden tot jaren. Bovendien worden bestaande fylogenetische benaderingen in malware-analyse beperkt door kleine steekproefgroottes, enkelvoudige feature-modaliteiten of een gebrek aan temporele validatie om te bevestigen of geïnferreerde bomen daadwerkelijke historische tijdlijnen weerspiegelen. Er is een kritieke kloof in het opschalen van evolutionaire analyse naar grote datasets en het valideren of structurele gelijkenissen overeenkomen met werkelijke historische lineages.

2. Methodologie

De auteurs stellen MalTree voor, een framework dat bio-informatica-geïnspireerde fylogenetische technieken toepast op malware-monsters op een ongekende schaal. De pipeline bestaat uit vier hoofdfasen:

2.1. Extractie van Multi-Modale Embeddings

In plaats van ruwe binaries te analyseren (die vaak gepakt zijn), analyseert MalTree memory dumps die zijn geëxtraheerd uit gecontroleerde sandbox-executies om gedecodeerde code en runtime-staten te onthullen. Het extraheert drie complementaire embeddings:

Pseudo-statisch ( $e_s$ ): Afgeleid van uitvoerbare secties (headers, imports, exports, opcodes) met behulp van de LIEF-bibliotheek, gecodeerd via een text-embedding model (OpenAI text-embedding-3-large) naar 3.000 dimensies, geconcateneerd met byte-histogrammen.
Dynamisch ( $e_d$ ): Legt gedragstraces vast (bestands-, proces-, register-, netwerk- en mutex-activiteit) vanuit sandbox-executie, gecodeerd naar 1.000 dimensies.
Beeld ( $e_i$ ): Memory dumps geconverteerd naar RGB-afbeeldingen (bin2png) en verwerkt via een ResNet-50 architectuur die vooraf is getraind op malware-afbeeldingsbenchmarks en is gefinetuned op de dataset, wat resulteert in 2.048-dimensionale vectoren.

Deze embeddings worden gefuseerd via concatenatie en een twee-laags neuraal netwerk, waardoor de gecombineerde 6.560 dimensies worden gereduceerd tot een 1.000-dimensionale representatie voor boomconstructie.

2.2. Boomconstructie

Het framework construeert fylogenetische bomen uit paar-gewijze afstanden in de embedding-ruimte met behulp van twee afstand-gebaseerde algoritmen:

UPGMA (Unweighted Pair Group Method with Arithmetic Mean): Gaat uit van een constante evolutiesnelheid (moleculaire klok).
Neighbor-Joining (NJ): Accommodateert rate heterogeniteit, waardoor lineages met verschillende snelheden kunnen evolueren.
De auteurs maken gebruik van RapidNJ om een bijna- $O(n^2)$ schaalbaarheid te bereiken, wat de verwerking van meer dan 100.000 monsters mogelijk maakt.

2.3. Temporele Validatie

Aangezien malware geen genetische sequenties en bekende divergentiedata heeft, introduceert MalTree een nieuwe validatiemethode met behulp van VirusTotal eerste-indieningstemporele gegevens als proxies voor de verschijningsdatum.

Rooting (Worteling): Bomen worden geworteld met behulp van het monster met de vroegste timestamp (outgroup rooting) of via midpoint rooting.
Consistentiemetriek: Het framework valideert de boom door de geïnferreerde divergentievolgorde te vergelijken met de timestamps. Voor sibling-paren die een meest recente gemeenschappelijke voorouder (MRCA) delen, wordt het monster met de kortere padlengte (branch distance) naar de MRCA geïnferreerd als eerder verschenen te zijn. Een "temporele consistentiescore" wordt berekend als de proportie sibling-paren waarbij de door de boom geïnferreerde volgorde overeenkomt met de timestamp-volgorde.

2.4. Inter-familie Analyse

Om relaties tussen families te infereren, aggregeert het framework monsters per familie (bepaald door VirusTotal consensus-labels). Het berekent de mediane padafstand van elke families bladeren naar hun gedeelde MRCA. Gerichte randen (edges) worden gecreëerd van de familie met de kortere mediane afstand naar de familie met de langere afstand, waarbij de randgewichten de mediane afstand van de bronfamilie vertegenwoordigen.

3. Belangrijkste Bijdragen

Grootschalige Fylogenetische Analyse: De auteurs construeerden gevalideerde fylogenetische bomen van 103.883 malware-monsters verspreid over 538 families. Deze analyse werd voltooid in ongeveer 11 uur (UPGMA) of 3 dagen (NJ) op een 20-core cluster, wat de grootste dergelijke analyse tot nu toe vertegenwoordigt.
Temporeel Validatieframework: Het artikel introduceert een methode om de evolutionaire richting te valideren met behulp van VirusTotal-timestamps, waarmee een gat in eerder werk wordt gedicht waar geïnferreerde bomen niet werden geverifieerd tegen de werkelijke historische verschijningslijnen.
Interpreteerbare Evolutionaire Inzichten: Het framework bevat methoden voor boomvereenvoudiging en inter-familie analyse die relaties onthullen die consistent zijn met publieke cybersecurity-intelligentie (bijv. de Mirai botnet lineage).
Open Release: De code en embeddings worden aan de community vrijgegeven om verder onderzoek te faciliteren.

4. Experimentele Resultaten

Kwaliteit van de Embeddings: Gecombineerde multi-modale embeddings bereikten een familie-classificatienauwkeurigheid van 93,69% met behulp van een lineaire probe, wat individuele modaliteiten overtrof. Beeld-embeddings alleen bereikten 94,91%, wat suggereert dat visuele structuur families sterk discrimineert.
Temporele Consistentie: Het Neighbor-Joining algoritme met outgroup rooting bereikte een temporele consistentiescore van 87,1%. Dit geeft aan dat de geïnferreerde evolutionaire relaties nauw aansluiten bij de werkelijke verschijningslijnen. In contrast hiermee presteerde UPGMA goed (86,0%) in zijn nominale configuratie, maar degradeerde aanzienlijk wanneer het in alternatieve rooting-schema's werd gedwongen, wat suggereert dat malware-evolutie vaak de aanname van een constante snelheid schendt.
Evolutionaire Snelheden: Analyse van de embedding drift onthulde dat mutatiesnelheden niet uniform zijn over families. Sommige families (bijv. Bashlite, Syslogk) vertonen meer dan 10 keer hogere drift dan andere, wat de aanname van de moleculaire klok schendt die vereist is voor UPGMA en Neighbor-Joining bevoordeelt.
Casestudy's:
- Mirai Botnet: De geïnferreerde boom identificeerde correct vijf bekende Mirai-afstammelingen (Bashlite, Okiru, MooBot, Gafgyt, Rapperbot) met randgewichten die consistent zijn met gedocumenteerde codeliniage en threat intelligence. Statische analyse van import/export symbolen bevestigde een hoge codehergebruik (bijv. 82% overlap tussen Mirai en Okiru).
- SmokeLoader: Het framework identificeerde delivery chain associaties (bijv. met Amadey, RedLine) in plaats van code-overerving, wat de capaciteit demonstreert om operationele nabijheid te vangen.
- Geobserveerde Beperkingen: Het framework legde functionele gelijkenissen vast in plaats van organisatorische. Zo groepeerden de componenten van het Conti-ecosysteem (Wizard Spider groep) niet samen omdat de tools (banking trojans, loaders, ransomware) verschillende regio's in de feature-ruimte bezetten ondanks gedeelde auteurschap.

5. Betekenis en Claims

Het artikel claimt dat MalTree een fundament biedt voor de verschuiving van malware-analyse van monster-per-monster classificatie naar lineage-bewuste evolutionaire modellering. Door aan te tonen dat fylogenetische methoden in staat zijn om betekenisvolle evolutionaire structuren op schaal te vangen, suggereert het werk dat detectiestrategieën moeten worden afgestemd op de specifieke evolutionaire tempo's van malwarefamilies.

De auteurs benadrukken dat hun aanpak bestaande workflows aanvult door evolutionaire inzichten te produceren in weken in plaats van de maanden die nodig zijn voor handmatige reverse engineering. Ze blijven echter bescheiden over de reikwijdte, waarbij zij opmerken dat:

Het framework functionele relaties (codehergebruik, gedeelde toolkits) vastlegt in plaats van organisatorische (threat actor attributie).
Het niet automatisch onderscheid kan maken tussen code-evolutie, delivery chain associaties en incidentele feature-ruimte nabijheid.
De geldigheid van de geïnferreerde bomen rust op de aanname dat kortere taklengtes binnen sibling-paren overeenkomen met een eerdere verschijning, een "lokale klok" aanname die empirisch standhoudt voor ondiepe divergenties maar verdere validatie vereist voor zeer onregelmatige evolutie.

Uiteindelijk biedt MalTree een schaalbare, geautomatiseerde methode om het co-evoluerende digitale ecosysteem van malware te visualiseren en te valideren, waardoor beveiligingspraktijkers hypothesen voor onderzoek krijgen en een dieper begrip van hoe malwarefamilies in de loop van de tijd evolueren.