AsmRAG: LLM-Driven Malware Detection by Retrieving Functionally Similar Assembly Code

Resumo Técnico: AsmRAG

1. O Problema: O "Gap" de Interpretabilidade e a Fragilidade Sintática

O artigo identifica duas limitações críticas nos detectores de malware baseados em Deep Learning (DL) atuais (como EMBER e ResNeXt):

• Falta de Interpretabilidade (Problema da "Caixa Preta"): Modelos de classificação tradicionais fornecem apenas um veredito probabilístico (ex: "99% de chance de ser malware"), mas não explicam por que ou qual parte do código é maliciosa. Isso impede uma análise forense eficaz em Centros de Operações de Segurança (SOC).
• Vulnerabilidade à Ofuscação: Modelos que dependem de estatísticas globais (como histogramas de bytes ou n-grams) são facilmente enganados por técnicas de ofuscação sintática (inserção de código morto, troca de registradores, reordenação de instruções). Essas técnicas alteram a "aparência" do arquivo sem mudar sua lógica funcional, fazendo com que o malware escape das fronteiras de decisão do modelo.

2. Metodologia: Detecção Baseada em Recuperação Semântica

Os autores propõem o AsmRAG, que muda o paradigma de classificação de conjunto fechado para recuperação de evidências em conjunto aberto. Em vez de tentar classificar um arquivo inteiro, o sistema busca funções de código assembly que sejam funcionalmente equivalentes a ameaças conhecidas.

A arquitetura divide-se em três estágios:

Estágio 1: Construção da Base de Conhecimento (Knowledge Base)

• Filtragem Semântica de Bibliotecas: Para evitar falsos positivos causados por código de bibliotecas padrão (como glibc ou openssl), o sistema utiliza um mecanismo de filtragem baseado em embeddings. Ele compara as funções extraídas com um índice de bibliotecas conhecidas e descarta o "ruído" (boilerplate benigno).
• Codificação Semântica (Embeddings): Utiliza o modelo Qwen3-Embedding para converter funções de assembly em vetores densos. O diferencial é a "Canonicalização Mínima": o sistema preserva valores imediatos e nomes de registradores (essenciais para atribuição de autoria), alterando apenas endereços de memória absolutos (devido ao ASLR).

Estágio 2: Análise Baseada em Evidências

• Busca de Vizinhos Próximos (ANN): Para cada função de um arquivo suspeito, o sistema busca no índice FAISS as funções mais similares.
• Votação Ponderada pela Densidade (Density-Weighted Voting): Em vez de uma votação simples, o sistema atribui maior peso às funções que estão em "clusters" densos de malware no espaço vetorial. Isso evita que uma única função isolada (ou um falso positivo) altere o veredito.
• Seleção da Função Âncora ($q^*$): O sistema identifica a função mais representativa do malware (a "âncora") para servir de base para a explicação.

Estágio 3: Geração de Explicações (RAG)

• Geração de Relatórios Forenses: Utilizando um LLM (GPT-OSS:20B), o sistema realiza uma análise diferencial entre a função suspeita e a função de prova recuperada. O resultado é uma explicação em linguagem natural que descreve a lógica funcional (ex: "Ambas as funções implementam um algoritmo de criptografia XOR com a mesma constante").

3. Principais Contribuições

1. Arquitetura RAG para Assembly: Transpõe o conceito de RAG (usado em texto) para o nível de instruções de baixo nível.
2. Estratégia de Embedding Resiliente ao Ruído: Capacidade de mapear funções com sintaxes diferentes, mas semânticas idênticas, para coordenadas próximas no espaço vetorial.
3. Mecanismo de Atribuição de Âncora: Um método matemático para isolar a lógica maliciosa central, evitando que o código benigno "dilua" o sinal de detecção.
4. Loop de Aprendizado Ativo: Permite que analistas humanos confirmem detecções e reintegrem novos exemplos diretamente na base de conhecimento, permitindo que o sistema evolua sem necessidade de retreinamento pesado.

4. Resultados Experimentais

O sistema foi testado em um dataset de 40.814 binários, abrangendo 17 famílias de malware:

• Desempenho de Detecção: Alcançou um F1-score de 96% na detecção e 95% na atribuição de família.
• Resiliência à Ofuscação: Em testes de recompilação cruzada (com diferentes níveis de otimização de compiladores como GCC e MSVC), o AsmRAG manteve uma queda mínima de desempenho ($\Delta < 3\%$), enquanto os modelos de baseline (EMBER e ResNeXt) sofreram quedas de até 18%.
• Qualidade da Explicação: Auditorias mostraram que 91,1% das afirmações feitas pelo LLM eram "Suportadas" (verificáveis via inspeção direta do código), com uma taxa de alucinação extremamente baixa (2,6%).

5. Significância e Conclusão

O AsmRAG representa uma mudança fundamental na defesa cibernética: de modelos que apenas "adivinham" a probabilidade de um arquivo ser perigoso para sistemas que apresentam provas forenses. Ao focar na semântica (o que o código faz) em vez da sintaxe (como o código parece), o framework oferece uma defesa robusta contra ataques metamórficos e fornece aos analistas de segurança ferramentas de decisão transparentes e acionáveis.