Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

Resumo Técnico: Integração de Dados de Imagem e Texto de APK para Detecção de Ameaças Aprimorada

Definição do Problema
A proliferação de malware Android sofisticado de dia zero exige mecanismos de detecção robustos que vão além da análise estática e dinâmica tradicional, as quais são frequentemente vulneráveis à ofuscação. Embora pesquisas recentes tenham demonstrado a eficácia da conversão de bytecode de Pacotes de Aplicativos Android (APK) em representações de imagem para detecção baseada em aprendizado profundo, lacunas significativas permanecem. Estudos existentes frequentemente falham em avaliar sistematicamente como os atributos da imagem — especificamente o formato de cor (RGB vs. tons de cinza) e a resolução (ex: 128x128, 256x256, 512x512) — impactam o desempenho da detecção. Além disso, as abordagens baseadas em imagem atuais frequentemente negligenciam dados textuais valiosos incorporados nos APKs, como permissões, metadados e arquivos de manifesto. O potencial de integrar esses recursos textuais com dados de imagem via aprendizado profundo multimodal para aumentar a precisão da detecção permanece subexplorado.

Metodologia
Os autores propõem um framework de aprendizado profundo multimodal para abordar essas lacunas por meio de duas fases investigativas primárias:

1. Avaliação de Atributos de Imagem (RQ1):

   • Coleta de Dados: O estudo utilizou 4.303 APKs maliciosos e 4.039 APKs benignos dos conjuntos de dados CIC-AndMal2017 e CICMalDroid 2020.
   • Geração de Imagem: Os arquivos APK foram descompilados e convertidos em fluxos binários, sendo então transformados em dois tipos de imagem: Tons de Cinza (Grayscale) e RGB. Estes foram gerados em três resoluções: 128x128, 256x256 e 512x512.
   • Treinamento de Modelo: Oito arquiteturas de Redes Neurais Convolucionais (CNN) pré-treinadas foram treinadas e testadas nestes conjuntos de dados: VGG-16, VGG-19, ResNet-50, ResNet-101, ResNet-152, MobileNet-V2, DenseNet-169 e EfficientNet-B4.
   • Métricas: O desempenho foi avaliado usando acurácia, precisão, recall, F1-score e Área Sob a Curva ROC (AUC-ROC).

2. Integração Multimodal (RQ2):

   • Extração e Anotação de Texto: Recursos textuais (permissões, recursos, dados de manifesto) foram extraídos dos APKs. Um Modelo de Linguagem de Grande Escala (LLM), especificamente o LLaMA-2, foi empregado para gerar anotações baseadas em prompts resumindo esses recursos como "maliciosos" ou "benignos".
   • Fusão Multimodal: O texto anotado e as imagens de APK correspondentes foram integrados em um conjunto de dados multimodal.
   • Avaliação de Modelo: O modelo CLIP (Pre-treinamento de Contraste de Linguagem-Imagem) foi utilizado para classificar os dados combinados de imagem-texto de maneira zero-shot. Isso foi comparado contra os modelos CNN independentes e uma linha de base de Rede Neural Quântica (QNN).

Principais Contribuições

• Análise Sistemática de Imagem: O artigo fornece uma avaliação abrangente dos atributos de imagem através de oito arquiteturas CNN, identificando configurações ideais para diferentes modelos.
• Framework Multimodal Inovador: Os autores desenvolveram um framework que combina imagens de APK com anotações de texto geradas pelo LLaMA-2, utilizando o modelo CLIP para fundir características visuais e semânticas.
• Contribuição de Conjunto de Dados: Um conjunto de dados multimodal limitado, compreendendo diversas imagens atribuídas e suas respectivas anotações textuais, foi criado para apoiar pesquisas futuras neste domínio.

Resultos

• Detecção Baseada em Imagem (RQ1):

  • Superioridade do RGB de Alta Resolução: Para arquiteturas mais profundas (ResNet-50, ResNet-101, ResNet-152, EfficientNet-B4), imagens RGB na resolução de 512x512 produziram o maior desempenho, com a ResNet-101 alcançando 97% de acurácia e um ROC AUC de 0.9919.
  • Eficiência Equilibrada: A configuração RGB de 256x256 ofereceu um forte compromisso entre custo computacional e desempenho, particularmente para ResNet-152 e DenseNet-169.
  • Otimizações Específicas de Modelo: A VGG-16 apresentou melhor desempenho com tons de cinza de baixa resolução (128x128), enquanto a MobileNet-V2 atingiu o pico de acurácia (96%) com imagens de 512x512 tanto em RGB quanto em Tons de Cinza.
  • Tendência Geral: Imagens RGB geralmente superaram as imagens em Tons de Cinza para modelos complexos, enquanto o Tons de Cinja foi mais eficaz para modelos mais simples ou resoluções menores para evitar overfitting.

• Desempenho Multimodal (RQ2):

  • Sucesso Limitado do CLIP: A abordagem multimodal usando CLIP teve um desempenho insatisfatório, alcançando apenas 50% de acurácia (equivalente a um palpite aleatório em um contexto de classificação binária).
  • Falha na Detecção de Malware: O modelo CLIP falhou em detectar quaisquer amostras de malware (Recall = 0.00 para malware) e alcançou um F1-score macro de 0.33.
  • Comparação: Modelos baseados apenas em imagem, particularmente a ResNet-152 (71% de acurácia no conjunto de teste específico usado para comparação), superaram significativamente a abordagem multimodal CLIP. Os autores atribuem isso ao tamanho limitado do conjunto de dados multimodal (apenas 34 pares imagem-texto).

Significância e Alegações
O artigo afirma que, embora a integração multimodal seja uma direção promissora, sua implementação atual usando CLIP e conjuntos de dados pequenos ainda não supera as CNNs otimizadas de apenas imagem para detecção de malware Android. O estudo enfatiza a importância crítica de avaliar sistematicamente os atributos da imagem (resolução e espaço de cor) para maximizar a eficácia da detecção. Os autores concluem que imagens RGB de alta resolução combinadas com CNNs profundas (como ResNet-152 e EfficientNet-B4) oferecem atualmente a solução mais eficaz. Eles afirmam modestamente que a abordagem multimodal requer conjuntos de dados maiores e mais diversos, além de técnicas de fusão avançadas (além do zero-shot CLIP) para realizar seu potencial no aumento das capacidades de detecção de ameaças.