Resumo Técnico: Detecção de Malware Transparente com Explicabilidade de Fluxo de Assembly Granular via Redes Neurais de Grafos

Declaração do Problema

À medida que o malware se torna cada vez mais sofisticado e evasivo, os sistemas de detecção devem evoluir para serem igualmente inteligentes e transparentes. Embora as Redes Neurais de Grafos (GNNs) aplicadas a Grafos de Fluxo de Controle (CFGs) tenham mostrado promessa na detecção de malware, elas sofrem de uma falta de explicabilidade intrínseca. Os métodos de explicabilidade baseados em GNN aplicados a CFGs enfrentam uma limitação crítica: os nós do CFG representam "blocos básicos" (sequências de instruções não ramificáveis), o que significa que as instruções de assembly individuais dentro desses blocos ficam obscurecidas. Consequentemente, as GNNs não podem fornecer explicações granulares ao nível da instrução, deixando ambiguidade sobre quais instruções específicas impulsionam uma previsão maliciosa. Além disso, a escala massiva dos Grafos de Fluxo de Assembly (AFGs), que representam cada instrução como um nó, torna a aplicação direta de GNNs computacionalmente intratável para pré-processamento, incorporação (embedding) e treinamento.

Metodologia

Os autores propõem um novo framework centrado no Grafo de Fluxo de Assembly (AFG) e em uma abordagem de Meta-Coarsening (Meta-Agrupamento) para permitir a explicabilidade granular, mantendo a viabilidade computacional.

1. Construção do Grafo

• Grafo de Fluxo de Assembly (AFG): Ao contrário dos CFGs tradicionais onde os nós são blocos básicos, o AFG substitui cada nó do CFG por uma lista encadeada simples de suas instruções de assembly sequenciais constituintes. As arestas são redirecionadas para conectar o cabeçalho e a cauda dessas listas de instruções, criando um grafo onde cada nó representa uma única instrução.
• Codificação de Instrução: As instruções são codificadas usando um vetor de 1.103 bits derivado da biblioteca Capstone, capturando opcodes, prefixos e diversas flags.

2. Abordagem de Meta-Coarsening

Para lidar com o custo computacional dos grandes AFGs, os autores introduzem um pipeline de "Meta-Coarsening" de dois estágios:

• Fase 1: Coarsening do CFG (C-CFG): Em vez de realizar o coarsening diretamente no massivo AFG, os autores realizam o coarsening do CFG subjacente (a "meta-estrutura"). Isso é computacionalmente tratável e preserva a similaridade estrutural com o AFG. Uma GNN é treinada nesses Coarsened CFGs (C-CFGs), e um explicador identifica subgrafos importantes neste nível.
• Fase 2: Backtracking e Treinamento de B-AFG: Os subgrafos importantes identificados no C-CFG são "rastreados de volta" (backtracked) através da hierarquia para o AFG original, criando um conjunto de dados de Backtracked AFG (B-AFG). Este B-AFG contém apenas os nós específicos ao nível de instrução relevantes para a explicação. Uma segunda GNN separada é treinada nesses B-AFGs para gerar explicações granulares finais ao nível da instrução de assembly.

3. Métricas de Avaliação

O artigo introduz e utiliza diversas métricas para quantificar a qualidade da explicação:

• Scores de Fidelidade ($fid^+$ e $fid^-$): Medindo a necessidade (remover o subgrafo altera a previsão) e a suficiência (manter apenas o subgrafo mantém a previsão).
• Score de Caracterização ($\lambda$): Uma média harmônica ponderada dos scores de fidelidade, adaptada para medir o acordo entre os níveis C-CFG e B-AFG.
• Score do Indicador $\beta$: Uma métrica inovadora para detectar ambiguidade. Ela retorna 0 se as explicações forem binárias (claras) e positiva se forem não-binárias (ambíguas), destacando especificamente a diferença entre explicações ao nível de bloco básico (ambíguas) e ao nível de instrução (não ambíguas).

Principais Contribuições

1. Grafo de Fluxo de Assembly (AFG): A proposta de uma nova representação de grafo que captura o fluxo completo de instruções de assembly de um executável binário, permitindo granularidade ao nível da instrução.
2. Meta-Coarsening: Uma abordagem inovadora para melhorar a tratabilidade computacional ao realizar o coarsening do CFG para aproximar o coarsening do AFG, permitindo o treinamento de GNNs em dados de larga escala, mantendo a capacidade de rastrear de volta ao nível da instrução.
3. Explicabilidade Granular: A primeira demonstração de detecção de malware baseada em GNN que fornece explicações no nível específico da instrução de assembly, resolvendo a ambiguidade inerente aos CFGs de nível de bloco básico.
4. Novas Métricas: A definição do score do indicador $\beta$ para medir empiricamente a granularidade da explicação e a adaptação do score $\lambda$ para avaliar a consistência da explicação entre níveis.
5. Controle de Hiperparâmetros: A identificação de hiperparâmetros (coeficiente de coarsening $r$ e política de seleção $\epsilon$) que permitem aos usuários equilibrar os requisitos computacionais com a expressividade da explicação.

Resultados Experimentais

A abordagem foi avaliada utilizando o dataset CIC-DGG-2025, contendo binários Windows PE x86.

• Desempenho de Inferência: A abordagem de Meta-Coarsening alcançou precisão competitiva ou superior em relação aos baselines. Especificamente, o coarsening Kron com um coeficiente $r=0.25$ e Variation Edges com $r=0.75$ produziram os melhores resultados (até 89,8% de precisão média), sugerindo que o coarsening moderado pode atuar como um regularizador, melhorando a generalização.
• Explicabilidade:
  • O score $\lambda$ foi mais alto (0.713) para o Kron com $r=0.25$, indicando forte concordância entre as explicações grosseiras e granulares.
  • Análise de Fidelidade: O nível C-CFG mostrou alta necessidade ($fid^+$), significando que remover os subgrafos identificados causou a classificação incorreta. O nível B-AFG mostrou alta suficiência ($fid^-$), significando que os subgrafos de instrução selecionados sozinhos foram suficientes para manter a previsão correta.
  • Granularidade: O indicador $\beta$ foi 1 para todos os níveis (C-)CFG (indicando ambiguidade) e 0 para todos os níveis B-AFG (indicando explicações de nível de instrução não ambíguas e binárias).
• Diferenças de Classe: O estudo observou que amostras benignas eram geralmente mais explicáveis do que amostras maliciosas. As classes maliciosas mostraram scores de caracterização mais baixos, sugerindo que são mais difíceis de explicar ou prever consistentemente.

Significância e Alegações

O artigo afirma ser o primeiro a considerar a explicabilidade granular em detecção de malware usando GNNs ao nível da instrução de assembly. Os autores enfatizam que, embora trabalhos anteriores tenham utilizado CFGs ou grafos de opcode, eles não podiam fornecer insights não ambíguos ao nível da instrução devido à agregação de instruções em blocos básicos.

A significância deste trabalho reside em sua capacidade de:

• Fornecer sistemas de detecção transparentes, onde os defensores podem entender exatamente quais instruções contribuem para uma classificação maliciosa.
• Superar as barreiras computacionais de aplicar GNNs a massivos grafos de nível de instrução através da estratégia de Meta-Coarsening.
• Oferecer um framework para controlar o compromisso entre o tamanho do grafo e o detalhe da explicação através de hiperparâmetros.

Os autores concluem que sua abordagem fornece com sucesso explicações ao nível de assembly, servindo como uma fundação para trabalhos futuros em explicabilidade de detecção de malware em larga escala e auxiliando defensores na caracterização do comportamento de malwares. Eles reconhecem limitações quanto à generalização para outros formatos binários e ao potencial de evasão adversária, observando que trabalhos futuros poderiam explorar treinamento adversário ou métodos de geração estática para mitigar essas questões.