DLMC_Net: Adaptive Self Attention Module and Customized Convolutional Neural Network with Borderline SMOTE for Classification of Malwares using Byte Code Images

Technische Samenvatting: DLMC_Net voor Malware Classificatie

Probleemstelling
De snelle proliferatie van geavanceerde en automatisch gegenereerde malwarevarianten heeft traditionele op handtekeningen gebaseerde detectiesystemen steeds ineffectiever gemaakt. Hoewel machine learning (ML) en deep learning (DL) zijn geadopteerd om detectie te automatiseren, vertrouwen traditionele ML-methoden vaak op handmatig ontworpen kenmerken die kennisintensief zijn en moeite hebben met geobfusceerde of anti-analyse malware. Bovendien worden bestaande deep learning-benaderingen vaak geconfronteerd met twee kritieke uitdagingen: het verlies van semantische informatie tijdens de conversie van binair naar afbeelding (door afkapping of padding) en ernstige klasse-imbalans in benchmarkdatasets zoals Malimg, waarbij bepaalde malwarefamilies andere vele malen overtreffen, wat leidt tot een bevoordeelde modeltraining.

Methodologie
De auteurs stellen DLMC_Net voor, een nieuw deep learning-framework ontworpen voor de multi-class classificatie van 25 malwarefamilies met behulp van Byte Code Images (BCI). De methodologie integreert drie kerncomponenten:

1. Gecustomiseerd CNN Backbone: Het model maakt gebruik van een op maat gemaakte Convolutional Neural Network om lokale ruimtelijke kenmerken te extraheren uit 150×150 grijswaarden BCI-inputs. Deze backbone bestaat uit twee convolutionele blokken, elk bevattende een convolutionele laag, Batch Normalization (om training te stabiliseren en interne covariantieverschuiving te voorkomen), ReLU-activatie en Max Pooling (om te downsamplen en de computationele kosten te verlagen).
2. Adaptief Self-Attention Module: Om de beperking van CNN's bij het vastleggen van globale context aan te pakken, worden de geëxtraheerde ruimtelijke kenmerken door een adaptief self-attention mechanisme geleid. Deze module leert dynamisch het belang van verschillende ruimtelijke regio's door Query (Q), Key (K) en Value (V) matrices te berekenen. Het berekent aandachtsscores om lokale kenmerken te wegen op basis van hun relevantie, waardoor langetermijnafhankelijkheden worden vastgelegd en onderscheidende malware-regio's worden benadrukt terwijl redundante informatie wordt onderdrukt.
3. Borderline SMOTE (BLS) voor Klasse-imbalans: In het besef van de inherente klasse-imbalans in de Malimg-dataset, maken de auteurs gebruik van de Borderline SMOTE-techniek. In tegenstelling tot standaard SMOTE richt BLS zich op het genereren van synthetische samples voor minderheidsklassen specifiek nabij de beslissingsgrenzen (waar misclassificatie het meest waarschijnlijk is). Deze up-sampling strategie zorgt voor een gebalanceerde distributie van trainingsdata, waardoor wordt voorkomen dat het model bevooroordeeld raakt richting meerderheidsklassen.

De workflow omvat het converteren van malware-binaries naar BCI, het hervergroten van de afbeeldingen, het normaliseren van de data, het toepassen van BLS voor balans, en vervolgens het trainen van de DLMC_Net architectuur. De uiteindelijke classificatie wordt uitgevoerd via volledig verbonden lagen en een Softmax-activatiefunctie.

Belangrijkste Bijdragen
Het paper beschrijft vijf primaire bijdragen:

1. Nieuwe Architectuur: Het ontwerp van een gecustomiseerde CNN-structuur die specifiek is geoptimaliseerd voor robuuste multi-class malware classificatie met behulp van BCI.
2. Integratie van Attention: De implementatie van een adaptieve self-attention module binnen de CNN om de feature-representatie te verbeteren door zowel lokale patronen als globale afhankelijkheden vast te leggen.
3. Model Vereenvoudiging: Een reductie in het totaal aantal trainbare parameters vergeleken met complexe pre-trained modellen, waardoor de architectuur efficiënter wordt.
4. Afhandeling van Imbalans: De toepassing van Borderline SMOTE op de Malimg-dataset om de representatie van minderheidsklassen te versterken en de classificatie-robuustheid te verbeteren.
5. Uitgebreide Evaluatie: Een diepgaande vergelijkende analyse tegenover state-of-the-art (SOTA) baseline modellen, waarbij superieure prestatie-indicatoren worden aangetoond.

Experimentele Resultaten
Het model werd geëvalueerd op de Malimg benchmarkdataset (9.366 afbeeldingen over 25 klassen) en vergeleken met vier baseline deep learning modellen: VGG-16, InceptionResNet-V2, EfficientNet-B2 en DenseNet-201.

• Prestaties met BLS: Het voorgestelde DLMC_Net, in combinatie met BLS, behaalde uitzonderlijke prestatie-indicatoren:
  • Accuracy (Nauwkeurigheid): 99,92%
  • Precision (Precisie): 99,92%
  • Recall (Oproep): 99,92%
  • F1-Score: 99,91%
  • AUC: 99,96%
• Vergelijking: Deze resultaten presteerden significant beter dan alle baseline modellen, die nauwkeurigheden behaalden variërend tussen 91,42% en 92,24%.
• Ablatie-studie: De studie bevestigde de noodzaak van elke component. Een versie van het model zonder BLS of de attention module daalde naar 82,95% nauwkeurigheid. Het toevoegen van BLS verbeterde dit naar 87,23%, en de volledige integratie van de attention module resulteerde in de uiteindelijke 99,92% nauwkeurigheid. Dit demonstreert dat de synergie tussen gebalanceerde data en het attention-mechanisme cruciaal is voor hoogwaardige classificatie.

Betekenis en Claims
De auteurs beweren dat DLMC_Net een zeer effectieve en betrouwbare oplossing biedt voor grootschalige malware classificatie. De betekenis van het werk ligt in het vermogen om de beperkingen van zowel traditionele op handtekeningen gebaseerde detectie als standaard deep learning-benaderingen te overwinnen door:

• Effectief de klasse-imbalans aan te pakken die typisch is voor malware-datasets.
• Zowel lokale structurele patronen als globale contextuele afhankelijkheden vast te leggen via de hybride CNN-Attention architectuur.
• Bijna perfecte classificatie-nauwkeurigheid (99,92%) te bereiken op een standaard benchmark, wat suggereert dat het efficiënt kan assisteren bij het identificeren van diverse malwarefamilies door security experts.

Het paper concludeert dat het voorgestelde framework een schaalbare aanpak is voor real-world toepassingen en suggereert toekomstig werk waarbij de integratie van Quantum Machine Learning (QML) betrokken is om de representatiekracht en computationele efficiëntie verder te versterken.