Malformer: A Multi-Modal Malware Detector Using Transformers
Het artikel introduceert Malformer, een quadimodale transformer-gebaseerde detector die tekst-, beeld-, graaf- en audio-representaties van Windows-executables fuseert om een nauwkeurigheid van 98,3% te bereiken, waarmee het traditionele unimodale en bimodale malware-detectiesystemen aanzienlijk overtreft.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale wereld staan beveiligingsteams voor een constante, verschuivende strijd tegen kwaadaardige software. Decennialang was de primaire verdediging het zoeken naar bekende vingerafdrukken: specifieke patronen van code of unieke digitale handtekeningen die een virus identificeren. Deze aanpak werkt goed tegen oude bedreigingen, maar faalt wanneer aanvallers nieuwe, onbekende programma's maken of bestaande programma's licht aanpassen om hun sporen te wissen. Om voorop te blijven lopen, hebben onderzoekers zich tot machine learning gewend, waarbij computers worden geleerd om de subtiele, onderliggende structuren van slechte software te herkennen in plaats van alleen bekende patronen te matchen. Vroege pogingen leerden computers de ruwe code te lezen of naar het bestand te kijken als een eenvoudige afbeelding, maar elke methode had blinde vlekken. Eén manier om naar een bestand te kijken, kan cruciale aanwijzingen missen, vergelijkbaar met het proberen te identificeren van een persoon door alleen hun schaduw te zien of alleen hun stem te horen.
Een team van onderzoekers van Tennessee Tech University, de University of Nebraska at Omaha en North Carolina A&T State University heeft een nieuw systeem ontwikkeld genaamd Malformer om deze beperkingen te overwinnen. In plaats van te vertrouwen op slechts één weergave van een computerbestand, bekijkt hun systeem hetzelfde bestand op vier totaal verschillende manieren tegelijkertijd. Ze behandelen het bestand als een tekstdocument, een afbeelding, een kaart van verbindingen en een geluidsgolf. Door deze vier perspectieven te combineren, bouwt het systeem een veel rijker begrip op van wat het bestand probeert te doen. De onderzoekers testten deze aanpak op een enorme collectie van meer dan 200.000 computerbestanden en ontdekten dat het bekijken van het probleem door alle vier de lenzen tegelijkertijd het systeem in staat stelde om dreigingen met aanzienlijk hogere nauwkeurigheid op te sporen dan methoden die slechts één of twee weergaven gebruikten.
De kern van het idee achter Malformer is dat verschillende manieren om een bestand weer te geven, verschillende soorten informatie onthullen. Wanneer een computerbestand wordt omgezet naar tekst, toont het de specifieke instructies die het programma aan de processor geeft. Wanneer datzelfde bestand wordt omgezet in een afbeelding, onthult het patronen in de arrangement van de gegevens, vergelijkbaar met hoe een vingerafdruk rimpelingen en dalen laat zien. Wanneer het bestand wordt omgezet in een graaf, brengt het in kaart hoe verschillende delen van het programma met elkaar communiceren, wat de stroom van controle laat zien. Ten slotte, wanneer het bestand als een audiosignaal wordt behandeld, creëert de reeks bytes in het bestand een geluidsgolf die ritmische patronen draagt. De onderzoekers ontdekten dat het vertrouwen op slechts één van deze weergaven vaak gaten laat. Als een aanvaller bijvoorbeeld de tekstuele code verbergt (obfuscatie) om deze te maskeren, kan de afbeelding- of de geluidsweergave nog steeds de kwaadaardige structuur laten zien. Door deze vier weergaven te fuseren, creëert het systeem een vangnet waarbij één weergave de zwakheden van een andere kan compenseren.
Om dit systeem te bouwen, gebruikten de onderzoekers geavanceerde hulpmiddelen die bekend staan als transformers, wat krachtige computermodellen zijn die complexe relaties in data kunnen begrijpen. Ze pasten deze modellen aan om de vier verschillende soorten data te verwerken. Voor de tekst en de verbindingkaart gebruikten ze modellen die ontworpen zijn om taal en sequenties te begrijpen. Voor de afbeelding gebruikten ze een model dat normaal gesproken foto's analyseert, maar dat ze aanpasten om de bytepatronen van een bestand te zien. Voor het geluid gebruikten ze een model dat getraind is op menselijke spraak om naar het ritme van de data van het bestand te luisteren. De uitdaging was niet alleen het creëren van deze vier afzonderlijke weergaven, maar ook het leren aan het systeem hoe het deze tegen elkaar moet afwegen. De onderzoekers ontwikkelden een methode die automatisch aanpast hoeveel aandacht het systeem aan elke weergave besteedt tijdens de training. Als één weergave sneller leert dan de andere, vermindert het systeem tijdelijk de invloed ervan om ervoor te zorgen dat de langzamere weergaven inhalen, wat voorkomt dat het hele systeem bevooroordeeld raakt naar slechts één type informatie.
De resultaten van deze aanpak waren opmerkelijk. Bij het testen op een dataset van 201.549 bestanden identificeerde het Malformer-systeem kwaadaardige software in 98,3% van de gevallen. Deze prestatie was aanzienlijk beter dan systemen die slechts één type data bekeken of zelfs diegene die slechts twee weergaven combineerden. De onderzoekers ontdekten dat de combinatie van deze vier weergaven een niveau van detail bood dat geen enkele weergave alleen kon bereiken. Nog belangrijker is dat het systeem bewezen veerkrachtig te zijn. In realistische scenario's kunnen sommige delen van een bestand beschadigd of onleesbaar zijn, waardoor één van de vier weergaven faalt. De onderzoekers testten wat er zou gebeuren als ze de tekstweergave of de verbindingkaart verwijderden, en het systeem presteerde nog steeds zeer goed, met slechts een lichte daling in nauwkeurigheid. Dit suggereert dat het systeem niet afhankelijk is van één enkel punt van falen, maar eerder van de collectieve kracht van alle vier de perspectieven.
De studie benadrukte ook de unieke waarde van elk perspectief. Terwijl de afbeeldingweergave de meest consistente en betrouwbare was, leverde de verbindingkaart de sterkste individuele signalering wanneer deze beschikbaar was. De tekstweergave, die de assemblycode vertegenwoordigt, was bijzonder nuttig wanneer de verbindingkaart niet goed kon worden geëxtraheerd. De geluidsweergave, een minder gebruikelijke aanpak in dit vakgebied, bleek ook effectief en ving patronen op die de andere weergaven misten. Door deze diverse methoden samen te brengen, creëerden de onderzoekers een detector die niet alleen nauwkeuriger is, maar ook robuuster tegen de trucjes die aanvallers gebruiken om hun werk te verbergen. Het werk suggereert dat de toekomst van malware-detectie niet ligt in het vinden van één perfecte manier om een bestand te analyseren, maar in het integreren van meerdere, complementaire manieren om dezelfde dreiging te zien. Terwijl aanvallers hun methoden blijven evolueren, biedt een systeem dat in staat is om een probleem vanuit vier verschillende hoeken tegelijkertijd te bekijken, een krachtige en algemene verdediging voor de digitale infrastructuur waar we dagelijks op vertrouwen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.