Multi-View Decompilation for LLM-Based Malware Classification

Technische Samenvatting: Multi-View Decompilatie voor LLM-gebaseerde Malware Classificatie

Probleemstelling
Malware-analisten vertrouwen vaak op gedecompileerde pseudo-C-code om gecompileerde binaries te inspecteren wanneer de broncode niet beschikbaar is. Hoewel Large Language Models (LLMs) veelbelovend zijn gebleken bij het automatiseren van de classificatie van dergelijke gedecompileerde code als legitiem (benign) of kwaadaardig (malicious), vertrouwen bestaande pipelines doorgaans op de output van één enkele decompiler. De auteurs stellen dat deze aanname kwetsbaar is omdat decompilatie een verlieslatend, heuristisch proces is. Verschillende tools maken uiteenlopende keuzes met betrekking tot het herstel van de control-flow, naamgeving van variabelen, type-inferentie en expressie-simplificatie. Bijgevolg kan een enkel view van een decompiler kwaadaardige gedragingen verhullen of tool-specifieke artefacten introduceren die een LLM misleiden, terwijl een andere tool hetzelfde gedrag duidelijker kan blootleggen.

Methodologie
Om te onderzoeken of meerdere decompiler-views complementair bewijs leveren, hebben de auteurs een gebalanceerde benchmark geconstrueerd van 100 C-programma's (50 benigne utiliteiten en 50 malafide samples die families zoals Mirai, MyDoom en rootkits beslaan). Elk programma werd gecompileerd naar een 64-bits x86 ELF objectbestand en gedecompileerd met behulp van twee veelgebruikte open-source tools: Ghidra en RetDec.

De studie evalueerde een panel van vijf instructie-getunede LLMs (waaronder GPT-5.4-mini, Claude Haiku 4.5, Llama-3.3-70B, Qwen3-35B en Gemini-2.5-flash-lite) over drie prompting-instellingen:

1. Single-View: De LLM classificeert de output van ofwel Ghidra ofwel RetDec onafhankelijk.
2. Multi-View: De LLM ontvangt beide gedecompileerde views in een enkele prompt, met de instructie om ze te behanden als complementaire representaties van dezelfde binary.
3. Disagreement-Triggered Consensus: Het systeem voert eerst single-view voorspellingen uit; als ze het eens zijn, wordt dat label geaccepteerd. Als ze van mening verschillen, wordt een multi-view prompt getriggerd om het conflict op te lossen.

De evaluatie richtte zich op de malafide klasse, waarbij prioriteit werd gegeven aan recall en de F1-score, aangezien fout-negatieven (het missen van malware) bijzonder kostbaar zijn in triage-scenario's.

Belangrijkste Resultaten

• Variabiliteit van de Decompiler: De keuze van de decompiler heeft een significante impact op de classificatieprestaties. Geen enkele tool was universeel superieur; bijvoorbeeld leverde Ghidra betere resultaten voor Qwen- en GPT-modellen, terwijl RetDec beter presteerde voor Llama-3.3-70B.
• Prestatiewinst: De Multi-View instelling presteerde consequent beter dan de single-view baselines over de meeste modelfamilies heen. Het verbeterde de F1-score voor de malafide klasse met wel +13,9 punten (voor Gemini-2.5-flash-lite) en +7,9 punten (voor Llama-3.3-70B) vergeleken met de beste single-view resultaten.
• Mechanisme van Verbetering: De winst werd primair gedreven door een verhoogde recall. Analyse van voorspellingsverschillen toonde aan dat wanneer één decompiler kwaadaardig gedrag verborg (wat leidde tot een fout-negatief), de andere vaak voldoende bewijs blootlegde voor de LLM om de sample correct als malafide te identificeren.
• Model Efficiëntie: De multi-view aanpak was bijzonder effectief voor kleinere, goedkopere modellen, waardoor zij de prestatiekloof met grotere, duurdere modellen (bijv. Gemini Pro) konden dichten.
• Consensus Regel: De disagreement-triggered consensus regel was competitief maar presteerde over het algemeen niet beter dan directe multi-view prompting, wat suggereert dat het voordeel van het combineren van views verder gaat dan alleen het oplossen van expliciete meningsverschillen.

Betekenis en Bijdragen
Het artikel levert drie primaire bijdragen:

1. Een Gecureerde Benchmark: Een dataset van gekoppelde Ghidra en RetDec outputs voor 100 benigne en malafide C-programma's, wat een reproduceerbare evaluatie van decompiler-variabiliteit mogelijk maakt.
2. Een Multi-View Formulering: Een nieuwe pipeline die meerdere decompiler-outputs behandelt als complementair bewijs in plaats van te vertrouwen op een enkele canonieke representatie.
3. Empirische Validatie: Bewijs dat decompiler-diversiteit een eenvoudige, training-vrije methode is om LLM-gebaseerde malware-triage te verbeteren.

Betekenisclaims
De auteurs positioneren dit werk als een praktische oplossing voor real-world malware-triage. Ze benadrukken dat multi-decompiler prompting de detectiepercentages (specifiek de recall) verbetert zonder dat er training van modellen, toegang tot broncode of complexe ensemble-architecturen nodig zijn. Door gebruik te maken van bestaande open-source decompilers en off-the-shelf LLMs, biedt deze aanpak een kosteneffectieve manier om de "kwetsbare" aard van single-view decompilatie te mitigeren, zodat kwaadaardige gedragingen die door de heuristieken van één tool worden verborgen, niet worden gemist.

Beperkingen
De auteurs erkennen enkele beperkingen:

• De benchmark gebruikt relocatable object files (.o) in plaats van volledige executables, wat mogelijk niet de volledige context van gedeplyoide binaries weergeeft.
• De studie gaat uit van schone decompilatie; het evalueert niet de prestaties tegenover zwaar geobfusceerde, gepakte of tegen decompilerisatie-hardened binaries.
• De bevindingen zijn gebaseerd op twee specifieke decompilers (Ghidra en RetDec) en kunnen variëren met propriëtaire tools of een groter aantal views.