💻 computer science

MalTree: Tracing Malware Evolution from Embeddings at Scale

O artigo apresenta o MalTree, um framework escalável que adapta técnicas filogenéticas da bioinformática para modelar automaticamente a evolução de malware usando características estruturais, comportamentais e baseadas em imagens, alcançando 87% de consistência temporal e permitindo estratégias de defesa proativas e conscientes de linhagem.

Autores originais: Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Publicado 2026-06-08

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Akash Amalan, Georgios Smaragdakis, Tom J. Viering

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine o mundo dos vírus de computador (malware) não como um amontoado caótico de código ruim aleatório, mas como uma árvore genealógica gigante e em evolução, muito parecida com a história dos seres humanos ou a propagação de um vírus da gripe.

Por muito tempo, os especialistas em segurança jogaram um jogo de "bater no guaxinim" (whack-a-mole). Eles esperam que um novo vírus apareça, o estudam e então constroem um escudo para detê-lo. Mas, no momento em que constroem o escudo, o vírus já mudou sua aparência, passou despercebido e criou uma nova versão. Este artigo, MalTree, propõe uma maneira de parar de jogar "bater no guaxinim" e começar a entender a história da família.

Aqui está a divisão de como eles fizeram isso, usando analogias simples:

1. O Problema: O Jogo "Reativo"

Pense na detecção de malware como um segurança de uma boate. O segurança tem uma lista de bandidos conhecidos (assinaturas). Se alguém se parece com um bandido da lista, é expulso. Mas os bandidos são espertos; eles usam disfarces (criptografia) ou mudam de roupa (polimorfismo) para parecerem diferentes. Quando o segurança atualiza a lista, o bandido já mudou novamente.

Os autores argumentam que, em vez de apenas olhar para indivíduos "maus", devemos olhar para a sua árvore genealógica. Se sabemos que o "Vírus A" é o pai do "Vírus B", e o "Vírus B" é o pai do "Vírus C", podemos prever como o "Vírus D" poderá ser antes mesmo de ele aparecer.

2. A Solução: MalTree (O Genealogista Digital)

Os pesquisadores construíram uma ferramenta chamada MalTree. Em vez de ler o código linha por linha (o que é como tentar ler um livro escrito em uma língua que você não fala), eles usaram um método emprestado da biologia chamado Filogenética.

O DNA do Malware: Na biologia, os cientistas comparam o DNA para ver quão relacionados dois animais são. O MalTree faz o mesmo com o malware. Ele pega um vírus e o transforma em uma "impressão digital" (chamada de embedding).
Três Tipos de Impressões Digitais: Para obter uma imagem completa, eles não olharam apenas para uma coisa. Eles olharam para três "ângulos" diferentes:
1. O Esqueleto (Estático): Como o código parece quando está congelado (como olhar para o bloco do motor de um carro).
2. O Comportamento (Dinâmico): O que o vírus faz quando é executado (como observar um carro dirigir para ver se ele acelera ou desvia).
3. O Visual (Imagem): Eles transformaram o código em uma imagem (como um código de barras) e usaram IA para "enxergar" padrões, de forma semelhante a como um humano reconhece um rosto.

Eles combinaram essas três visões em uma única impressão digital super detalhada para cada vírus.

3. Construindo a Árvore

Uma vez que obtiveram as impressões digitais, eles usaram matemática (especificamente algoritmos chamados UPGMA e Neighbor-Joining) para calcular o quão "diferente" cada vírus é de todos os outros.

Se dois vírus têm impressões digitais muito semelhantes, eles são colocados próximos na árvore (irmãos).
Se são muito diferentes, são colocados distantes (primos distantes).

Eles fizeram isso para 103.883 amostras diferentes de malware. Isso é uma reunião de família massiva!

4. O Teste da "Máquina do Tempo"

Uma grande questão é: Esta árvore é realmente real ou o computador apenas adivinhou?

Para provar que funciona, os pesquisadores usaram timestamps do VirusTotal (a data em que um vírus foi relatado pela primeira vez na internet).

A Lógica: Em uma árvore genealógica real, o "pai" deve existir antes do "filho".
O Teste: Eles verificaram se os vírus que apareceram anteriormente no tempo foram de fato colocados mais acima na árvore (mais próximos da raiz) do que aqueles que apareceram mais tarde.
O Resultado: Funcionou 87% das vezes. Isso significa que a árvore que construíram corresponde à história real de como esses vírus evoluíram.

5. O Que Eles Descobriram (Os Momentos "Aha!")

O artigo destaca algumas descobertas importantes usando esta árvore:

Velocidades Diferentes: Assim como algumas famílias têm filhos todos os anos e outras esperam uma década, algumas famílias de malware evoluem muito lentamente, enquanto outras sofrem mutações incrivelmente rápidas. Uma família (Bashlite) mudou mais de 10 vezes mais rápido que outras. Isso sugere que as equipes de segurança não podem usar uma defesa de "tamanho único"; elas precisam adaptar sua velocidade ao grupo específico de vírus.
A Botnet Mirai: Eles rastrearam o famoso vírus Mirai (que causou um enorme apagão na internet em 2016). A árvore identificou corretamente seus "filhos", incluindo Bashlite, Okiru e Gafgyt. Isso coincidiu com o que especialistas humanos já sabiam de anos de investigação manual, provando que o computador pode fazer em horas o que geralmente leva meses para humanos.
O Problema do "Hub": Eles descobriram que alguns vírus agem como "caminhões de entrega" (loaders) que carregam muitos tipos diferentes de cargas maliciosas (payloads). A árvore mostrou essas conexões, mas também alertou que, às vezes, os vírus parecem relacionados apenas porque usam as mesmas ferramentas, não porque são realmente da mesma família.

A Conclusão

MalTree é uma ferramenta que transforma a confusão caótica de vírus de computador em uma árvore genealógica organizada. Ao entender a história da família, os especialistas em segurança podem parar de apenas reagir ao último disfarce e começar a antecipar como a família do vírus irá evoluir a seguir.

É como passar de tentar pegar um único ladrão no escuro para ter um mapa de todo o submundo do crime, sabendo exatamente quem é parente de quem e onde provavelmente atacarão a seguir.

Resumo Técnico: MalTree – Rastreando a Evolução de Malware através de Embeddings em Escala

1. Declaração do Problema

Os paradigmas atuais de detecção de malware são fundamentalmente reativos. Modelos de aprendizado de máquina treinados em amostras conhecidas degradam-se à medida que as ameaças evoluem através de polimorfismo, metamorfismo e ofuscação. Embora a compreensão das relações evolutivas entre famílias de malware possa informar uma defesa proativa, a engenharia reversa tradicional para descobrir o linhagem é lenta, muitas vezes levando meses ou anos. Além disso, as abordagens filogenéticas existentes na análise de malware são limitadas por pequenos tamanhos de amostra, modalidades de características únicas ou pela falta de validação temporal para confirmar se as árvores inferidas refletem cronogramas reais de emergência. Existe uma lacuna crítica na escala da análise evolutiva para grandes conjuntos de dados e na validação de que as similaridades estruturais correspondem a linhagens históricas genuínas.

2. Metodologia

Os autores propõem o MalTree, um framework que aplica técnicas filogenéticas inspiradas na bioinformática a amostras de malware em uma escala sem precedentes. O pipeline consiste em quatro estágios principais:

2.1. Extração de Embeddings Multimodais

Em vez de analisar binários brutos (que são frequentemente compactados/packed), o MalTree analisa dumps de memória extraídos de execuções controladas em sandbox para revelar código descriptografado e estados de execução. Ele extrai três embeddings complementares:

Pseudo-estático ( $e_s$ ): Derivado de seções executáveis (cabeçalhos, imports, exports, opcodes) usando a biblioteca LIEF, codificado via um modelo de text-embedding (OpenAI text-embedding-3-large) para 3.000 dimensões, concatenado com histogramas de bytes.
Dinâmico ( $e_d$ ): Captura traços comportamentais (atividade de arquivos, processos, registro, rede, mutex) de execução em sandbox, codificado para 1.000 dimensões.
Imagem ( $e_i$ ): Dumps de memória convertidos em imagens RGB (bin2png) e processados através de uma arquitetura ResNet-50 pré-treinada em benchmarks de imagens de malware e ajustada (fine-tuned) no conjunto de dados, gerando vetores de 2.048 dimensões.

Esses embeddings são fundidos via concatenação e uma rede neural de duas camadas, reduzindo as 6.560 dimensões combinadas para uma representação de 1.000 dimensões para a construção da árvore.

2.2. Construção da Árvore

O framework constrói árvores filogenéticas a partir de distâncias pareadas no espaço de embeddings usando dois algoritmos baseados em distância:

UPGMA (Unweighted Pair Group Method with Arithmetic Mean): Assume uma taxa de evolução constante (relógio molecular).
Neighbor-Joining (NJ): Acomoda a heterogeneidade de taxas, permitindo que linhagens evoluam em velocidades diferentes.
Os autores utilizam o RapidNJ para alcançar uma escalabilidade próxima a $O(n^2)$ , permitindo o processamento de mais de 100.000 amostras.

2.3. Validação Temporal

Como o malware carece de sequências genéticas e datas de divergência conhecidas, o MalTree introduz um método de validação inovador usando os timestamps de primeira submissão do VirusTotal como proxies para o tempo de emergência.

Enraizamento (Rooting): As árvores são enraizadas usando a amostra com o timestamp mais antigo (enraizamento por outgroup) ou via enraizamento de ponto médio (midpoint rooting).
Métrica de Consistência: O framework valida a árvore comparando a ordem de divergência inferida com os timestamps. Para pares irmãos que compartilham um Ancestral Comum Mais Recente (MRCA), a amostra com o comprimento de caminho mais curto (distância de ramo) até o MRCA é inferida como tendo emergido anteriormente. Uma "pontuação de consistência temporal" é calculada como a proporção de pares irmãos onde a ordem inferida pela árvore coincide com a ordem do timestamp.

2.4. Análise Inter-família

Para inferir relações entre famílias, o framework agrega amostras por família (determinada por rótulos de consenso do VirusTotal). Ele calcula a distância mediana do caminho de cada família até seu MRCA compartilhado. Arestas direcionadas são criadas da família com a distância mediana mais curta (divergência mais precoce) para a família com a distância mais longa, com pesos de aresta representando a distância mediana da família de origem.

3. Principais Contribuições

Análise Filogenética de Larga Escala: Os autores construíram árvores filogenéticas validadas a partir de 103.883 amostras de malware abrangendo 538 famílias. Esta análise foi concluída em aproximadamente 11 horas (UPGMA) ou 3 dias (NJ) em um cluster de 20 núcleos, representando a maior análise deste tipo até o momento.
Framework de Validação Temporal: O artigo introduz um método para validar a direcionalidade evolutiva usando timestamps do VirusTotal, abordando uma lacuna em trabalhos anteriores onde as árvores inferidas não eram verificadas contra cronogramas de emergência do mundo real.
Insights Evolutivos Interpretáveis: O framework inclui métodos para simplificação de árvore e análise inter-família que revelam relações consistentes com a inteligência de cibersegurança pública (ex: a linhagem da botnet Mirai).
Lançamento Aberto: O código e os embeddings são liberados para a comunidade para facilitar pesquisas adicionais.

4. Resultados Experimentais

Qualidade do Embedding: Embeddings multimodais combinados alcançaram uma precisão de classificação de família de 93,69% usando um probe linear, superando as modalidades individuais. Embeddings de imagem sozinhos atingiram 94,91%, sugerindo que a estrutura visual discrimina fortemente as famílias.
Consistência Temporal: O algoritmo Neighbor-Joining com enraizamento por outgroup alcançou uma pontuação de consistência temporal de 87,1%. Isso indica que as relações evolutivas inferidas alinham-se de perto com os cronogramas de emergência do mundo real. Em contraste, o UPGMA teve um bom desempenho (86,0%) em sua configuração nominal, mas degradou significamente quando forçado em esquemas de enraizamento alternativos, sugerindo que a evolução do malware frequentemente viola a suposição de taxa constante.
Taxas Evolutivas: A análise do drift de embedding revelou que as taxas de mutação não são uniformes entre as famílias. Algumas famílias (ex: Bashlite, Syslogk) exibem um drift mais de 10 vezes maior do que outras, violando a suposição de relógio molecular exigida pelo UPGMA e favorecendo o Neighbor-Joining.
Estudos de Caso:
- Mirai Botnet: A árvore inferida identificou corretamente cinco descendentes conhecidos do Mirai (Bashlite, Okiru, MooBot, Gafgyt, Rapperbot) com pesos de aresta consistentes com a linhagem de código e inteligência de ameaças documentada. A análise estática de símbolos de importação/exportação confirmou alta reutilização de código (ex: 8x sobreposição entre Mirai e Okiru).
- SmokeLoader: O framework identificou associações de cadeia de entrega (ex: com Amadey, RedLine) em vez de herança de código, demonstrando sua capacidade de capturar proximidade operacional.
- Limitações Observadas: O framework capturou similaridades funcionais em vez de organizacionais. Por exemplo, o ecossistema Conti (grupo Wizard Spider) não se agrupou, pois as ferramentas (trojans bancários, loaders, ransomware) ocupam regiões diferentes do espaço de características, apesar de compartilharem autoria.

5. Significância e Alegações

O artigo afirma que o MalTree fornece uma base para mudar a análise de malware da classificação amostra a amostra para a modelagem evolutiva consciente da linhagem. Ao demonstrar que métodos filogenéticos podem capturar estruturas evolutivas significativas em escala, o trabalho sugere que as estratégias de detecção devem ser adaptadas aos tempos evolutivos específicos das famílias de malware.

Os autores enfatizam que sua abordagem complementa fluxos de trabalho existentes ao produzir insights evolutivos em semanas, em vez dos meses exigidos pela engenharia reversa manual. No entanto, eles mantêm a modéstia quanto ao escopo, observando que:

O framework captura relações funcionais (reuso de código, toolkits compartilhados) em vez de organizacionais (atribuição de threat actor).
Não pode distinguir automaticamente entre evolução de código, associações de cadeia de entrega ou proximidade incidental no espaço de características.
A validade das árvores inferidas depende da suposição de que comprimentos de ramo mais curtos dentro de pares irmãos correspondem a uma emergência anterior, uma suposição de "relógio local" que se mantém empiricamente para divergências rasas, mas requer validação adicional para evoluções altamente irregulares.

Em última análise, o MalTree oferece um método escalável e automatizado para visualizar e validar o ecossistema digital coevoluído do malware, fornecendo aos profissionais de segurança hipóteses para investigação e uma compreensão mais profunda de como as famílias de malware evoluem ao longo do tempo.