💻 computer science

FOCA: Multimodal Malware Classification via Hyperbolic Cross-Attention

Este artigo apresenta o FOCA, um novo framework multimodal de classificação de malware que transforma binários em representações de áudio e visuais e aproveita o espaço hiperbólico com mecanismos de atenção cruzada para capturar relações hierárquicas intrínsecas, alcançando desempenho de estado da arte em conjuntos de dados de referência.

Autores originais: Nitin Choudhury, Bikrant Bikram Pratap Maurya, Orchid Chetia Phukan, Arun Balaji Buduru

Publicado 2026-01-27

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Nitin Choudhury, Bikrant Bikram Pratap Maurya, Orchid Chetia Phukan, Arun Balaji Buduru

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está tentando identificar um tipo específico de criminoso (um "malware" ou vírus) escondido dentro de um arquivo de computador. Tradicionalmente, especialistas em segurança olhavam para esses arquivos como um detetive lendo uma lista de ingredientes (o código bruto). Mas os hackers são astutos; eles frequentemente disfarçam seus ingredientes para que o detetive não consiga reconhecê-los.

Os pesquisadores neste artigo, FOCA, decidiram tentar uma abordagem diferente. Em vez de apenas ler o código, eles transformaram o arquivo em dois tipos diferentes de experiências sensoriais: uma música (áudio) e uma imagem (visual).

Aqui está como o sistema deles funciona, explicado de forma simples:

1. Transformando Código em Sentidos

Pense em um arquivo de computador como uma longa sequência de números.

A Abordagem de Áudio: Eles transformaram esses números em ondas sonoras. É como ouvir o arquivo. Alguns padrões podem soar como uma batida de tambor constante, enquanto outros soem como estática caótica. Isso ajuda a capturar pistas minúsculas e detalhadas de "nível de byte".
A Abordagem Visual: Eles transformaram os mesmos números em uma imagem. Imagine pegar esses números e pintá-los em uma grade de cores. Isso cria um "mapa" que mostra a estrutura e a forma macro do arquivo.

2. O Problema de Misturá-los

Geralmente, quando você tenta combinar uma música e uma imagem para resolver um quebra-cabeça, você apenas as amassa juntas. Os pesquisadores perceberam que isso é como tentar misturar óleo e água; eles não se misturam bem porque têm "formas" ou estruturas diferentes.
Na computação, a maioria dos sistemas usa o espaço Euclidiano (pense nisso como um mapa plano e de linhas retas). Em um mapa plano, é difícil mostrar como uma coisa está "dentro" ou "acima" de outra em uma hierarquia complexa. Mas o malware tem uma hierarquia oculta: os pequenos detalhes do áudio são a fundação, e os grandes padrões visuais são o telhado.

3. A Solução: Um Mapa Curvo (Espaço Hiperbólico)

Para corrigir esse problema de mistura, o FOCA usa um truque matemático especial chamado Espaço Hiperbólico.

A Analogia: Imagine um mapa plano (Euclidiano) versus um funil ou um recife de coral (Hiperbólico). Um mapa plano fica superlotado rapidamente se você tentar desenhar uma árvore com muitos galhos. Um funil, no entanto, torna-se mais largo à medida que avança, dando bastante espaço para que cada galho se acomode confortavelmente sem se tocar.
O Benefício: Este espaço "curvo" é perfeito para mostrar a relação entre o áudio (os pequenos detalhes) e o visual (a grande estrutura). Ele respeita a "árvore genealógica" natural dos dados.

4. O Mecanismo de "Cross-Attention" (Atenção Cruzada)

Uma vez que os dados estão nesse mapa curvo, o FOCA utiliza um mecanismo de Hiperbolic Cross-Attention.

A Analogia: Imagine que você tem um detetive ouvindo uma música e olhando para uma foto. Em um sistema normal, eles poderiam falar um por cima do outro. No FOCA, eles têm um "tradutor" especial que os ajuda a focar exatamente nas partes certas da música que correspondem às partes certas da foto.
Esse tradutor garante que as pistas de áudio e visuais se alinhem perfeitamente, mesmo enquanto estão naquele mapa curvo e em forma de funil.

5. Os Resultados

Os pesquisadores testaram este sistema em duas grandes coleções de arquivos de malware conhecidos (chamadas Mal-Net e CICMalDroid2020).

O Resultado: O FOCA foi melhor em detectar os arquivos maliciosos do que:
- Sistemas que apenas ouviam o áudio.
- Sistemas que apenas olhavam para as imagens.
- Sistemas que tentavam misturar áudio e imagens usando os antigos métodos de "mapa plano".
De fato, ele se tornou o novo estado da arte (State-of-the-Art) para esses testes específicos.

Resumo

Em resumo, o FOCA é uma nova maneira de capturar vírus de computador. Em vez de apenas ler o código, ele transforma o código em música e arte. Ele então usa um mapa matemático curvo especial para ajudar a música e a arte a se entenderem perfeitamente, resultando em um segurança muito mais inteligente e preciso do que os que tivemos até agora.

Nota: O artigo afirma que este método funciona especificamente para classificar malware nesses dois conjuntos de dados. Não afirma que funcione para outros tipos de dados ou em outros cenários do mundo real fora deste contexto específico.

Resumo Técnico: FOCA – Classificação de Malware Multimodal via Atenção Cruzada Hiperbólica

Declaração do Problema
A classificação de malware enfrenta um desafio persistente de "gato e rato", onde atacantes utilizam ofuscação e polimorfismo para evitar defesas tradicionais baseadas em assinaturas. Embora abordagens de aprendizado de máquina e aprendizado profundo tenham melhorado a detecção, elas frequentemente têm dificuldade em lidar com ameaças em evolução. Pesquisas recentes exploraram a conversão de arquivos binários brutos em modalidades alternativas, como imagens (visuais) e áudio (formas de onda), para aproveitar modelos pré-treinados. No entanto, os métodos de fusão multimodal existentes dependem tipicamente do espaço Euclidiano, o qual falha em capturar as relações hierárquicas intrínsecas entre diferentes modalidades de dados. Especificamente, enquanto as representações de áudio podem codificar características de nível de byte mais detalhadas e as representações visuais capturam padrões estruturais de nível superior, as estratégias de fusão atuais (por exemplo, concatenação simples ou atenção cruzada padrão) não modelam explicitamente essa hierarquia, limitando seu potencial para uma classificação robusta.

Metodologia
Os autores propõem o FOCA (FusiOn with Hyperbolic Cross-Attention), um framework projetado para fundir modalidades de áudio e visual dentro de um espaço hiperbólico para melhor modelar suas dependências hierárquicas. A metodologia processa-se através das seguintes etapas:

Transformação Binário-para-X:
- Modalidade de Áudio: Sequências de bytes brutos de arquivos APK-dex são mapeadas em amostras de forma de onda de séries temporais contínuas (arquivos .wav).
- Modalidade Visual: Bytes brutos são tratados como inteiros sem sinal (0–255), concatenados em um array 1D e remodelados em matrizes 2D, onde o cabeçalho, os dados e as seções restantes mapeiam para canais RGB, criando representações de imagem.
Extração de Representação:
- Áudio: Modelos pré-treinados (PTMs) de última geração (SOTA) — Wav2vec2, WavLM e HuBERT — são usados para extrair embeddings de 768 dimensões via pooling de média a partir de suas últimas camadas ocultas.
- Visual: PTMs de visão SOTA — ResNet50, VGG19 e ViT — são usados para extrair embeddings (2048, 4096 ou 768 dimensões) via pooling de média.
- Processamento Unimodal: Os recursos extraídos passam por uma arquitetura baseada em CNN (duas camadas de 1D-CNN com max pooling) antes de entrar no módulo de fusão.
Fusão Hiperbólica (Núcleo do FOCA):
- Projeção Hiperbólica: Recursos Euclidianos são projetados em uma bola de Poincaré ( $B^d$ ) usando o mapa exponencial na origem.
- Atenção Cruzada Hiperbólica (HCA): Um mecanismo inovador alinha as modalidades de áudio e visual. Diferente da atenção padrão, a HCA calcula pesos de atenção usando a distância hiperbólica ( $d_H$ ) na bola de Poincaré, garantindo um alinhamento consciente da curvatura de queries, keys e values.
- Fusão de Möbius: Os valores atendidos são agregados usando adição de Möbius ( $\oplus_H$ ) e multiplicação escalar ( $\otimes_H$ ), operações específicas da geometria hiperbólica. A representação final fundida é mapeada de volta para o espaço Euclidiano via o mapa logarítmico para classificação.

Principais Contribuições
O artigo reivindica três contribuições primárias:

Primeira Exploração de Hierarquia: É o primeiro estudo a explorar e modelar explicitamente a relação hierárquica entre as modalidades de áudio (detalhadas) e visual (estruturais) para a classificação de malware.
Framework Inovador (FOCA): A proposta de um framework multimodal que aproveita o espaço hiperbólico para fundir essas modalidades, introduzindo um mecanismo de Atenção Cruzada Hiperbólica e uma camada de fusão baseada em adição de Möbius.
Superioridade Empírica: Experimentos extensos demonstram que o FOCA supera consistentemente modelos unimodais e basais multimodais baseados em Euclides (incluindo concatenação simples e atenção cruzada padrão), estabelecendo um novo estado da arte (SOTA) em desempenho.

Resultados Experimentais
O framework foi avaliado em dois conjuntos de dados de referência: Mal-Net (filtrado para 8.000 amostras em 10 classes) e CICMalDroid2020 (17.341 amostras em 5 classes).

Desempenho: O FOCA alcançou a maior acurácia e pontuações de macro-F1 em todas as configurações testadas.
- No CICMalDroid2020, a melhor configuração (HuBERT $\oplus_H$ ViT) alcançou 99,10% de acurácia e 98,85% de macro-F1, superando o SOTA anterior (Yang et al.) que reportou 98,52% de acurácia.
- No Mal-Net, a melhor configuração alcançou 82,84% de acurácia, superando o SOTA anterior (Samaneh et al. com 41,73% e Scott et al. com 70,12%).
Análise Comparativa:
- O FOCA superou consistentemente as basais de concatenação simples e atenção cruzada Euclidiana.
- Visualizações t-SNE indicaram que o FOCA produz clusters mais distintos e compactos em comparação com a atenção cruzada Euclidiana, sugerindo uma melhor separação de famílias de malware.
- Entre as basais unimodais, as representações de áudio geralmente superaram as representações de imagem, embora nenhum modelo de áudio único tenha dominado em ambos os conjuntos de dados.

Significância e Alegações
Os autores posicionam este trabalho como um passo pioneiro na classificação de malware ao unir o modelamento de relações hierárquicas com abordagens geometricamente conscientes. Eles afirmam que o FOCA é o primeiro estudo a utilizar o espaço hiperbólico para a fusão de representações multimodais na classificação de malware. Ao ir além das restrições Euclidianas, o framework oferece uma vantagem fundamentada para alinhar modalidades com diferentes níveis de abstração. O trabalho estabelece a fusão multimodal hiperbólica como uma nova direção promissora para o campo, fornecendo uma solução robusta que se adapta à natureza evolutiva das ameaças de malware. O código e os modelos treinados são disponibilizados publicamente para apoiar a reprodutibilidade.