Multi-View Decompilation for LLM-Based Malware Classification

Resumo Técnico: Descompilação Multi-Visão para Classificação de Malware Baseada em LLM

Definição do Problema
Analistas de malware frequentemente dependem de código pseudo-C descompilado para inspecionar binários compilados quando o código-fonte não está disponível. Embora os Grandes Modelos de Linguagem (LLMs) tenham mostrado promessa na automação da classificação de tal código descompilado como benigno ou malicioso, os pipelines existentes normalmente dependem da saída de um único descompilador. Os autores argumentam que essa suposição é frágil porque a descompilação é um processo heurístico e com perda de dados. Diferentes ferramentas fazem escolhas distintas em relação à recuperação de fluxo de controle, nomenclatura de variáveis, inferência de tipos e simplificação de expressões. Consequentemente, a visão de um único descompilador pode ocultar comportamentos maliciosos ou introduzir artefatos específicos da ferramenta que podem induzir o LLM ao erro, enquanto outra ferramenta pode expor o mesmo comportamento de forma mais clara.

Metodologia
Para investigar se múltiplas visões de descompilação fornecem evidências complementares, os autores construíram um benchmark equilibrado de 100 programas em C (50 utilitários benignos e 50 amostras maliciosas cobrindo famílias como Mirai, MyDoom e rootkits). Cada programa foi compilado em um arquivo objeto ELF de 64 bits x86 e descompilado usando duas ferramentas de código aberto amplamente utilizadas: Ghidra e RetDec.

O estudo avaliou um painel de cinco LLMs ajustados para instrução (incluindo GPT-5.4-mini, Claude Haiku 4.5, Llama-3.3-70B, Qwen3-35B e Gemini-2.5-flash-lite) através de três configurações de prompting:

1. Visão Única (Single-View): O LLM classifica a saída de ou do Ghidra ou do RetDec de forma independente.
2. Multi-Visão (Multi-View): O LLM recebe ambas as visões descompiladas em um único prompt, sendo instruído a tratá-las como representações complementares do mesmo binário.
3. Consenso Acionado por Desacordo (Disagreement-Triggered Consensus): O sistema executa predições de visão única primeiro; se elas concordarem, esse rótulo é aceito. Se houver desacordo, um prompt de multi-visão é acionado para resolver o conflito.

A avaliação focou na classe maliciosa, priorizando recall (revocação) e F1 score, uma vez que falsos negativos (perder malware) são particularmente custosos em cenários de triagem.

Principais Resultados

• Variabilidade do Descompilador: A escolha do descompilador impacta significativamente o desempenho da classificação. Nenhum único utilitário foi universalmente superior; por exemplo, o Ghidra gerou melhores resultados para modelos Qwen e GPT, enquanto o RetDec teve melhor desempenho para o Llama-3.3-70B.
• Ganhos de Desempenho: A configuração Multi-Visão superou consistentemente as linhas de base de visão única na maioria das famílias de modelos. Ela melhorou o F1 score da classe maliciosa em até +13,9 pontos (para o Gemini-2.5-flash-lite) e +7,9 pontos (para o Llama-3.3-70B) em comparação com o melhor resultado de visão única.
• Mecanismo de Melhoria: Os ganhos foram impulsionados principalmente pelo aumento do recall. A análise dos desacordos de predição mostrou que, quando um descompilador ocultava o comportamento malicioso (levando a um falso negativo), o outro frequentemente expunha evidências suficientes para que o LLM identificasse corretamente a amostra como maliciosa.
• Eficiência do Modelo: A abordagem de multi-visão foi particularmente eficaz para modelos menores e de menor custo, permitindo que eles fechassem a lacuna de desempenho em relação a modelos maiores e mais caros (ex: Gemini Pro).
• Regra de Consenso: A regra de consenso acionado por desacordo foi competitiva, mas geralmente não superou o prompting direto de multi-visão, sugerindo que o benefício de combinar visões estende-se além da simples resolução de desacordos explícitos.

Significância e Contribuições
O artigo apresenta três contribuições primárias:

1. Um Benchmark Curado: Um conjunto de dados de saídas correspondentes de Ghidra e RetDec para 100 programas C benignos e maliciosos, permitindo a avaliação reprodutível da variabilidade do descompilador.
2. Uma Formulação de Multi-Visão: Um novo pipeline que trata múltiplas saídas de descompiladores como evidências complementares, em vez de depender de uma única representação canônica.
3. Validação Empírica: Evidência de que a diversidade de descompiladores é um método simples, sem necessidade de treinamento, para melhorar a triagem de malware baseada em LLM.

Alegações de Significância
Os autores posicionam este trabalho como uma solução prática para a triagem de malware no mundo real. Eles enfatizam que o prompting de múltiplos descompiladores melhora as taxas de detecção (especificamente o recall) sem exigir treinamento de modelo, acesso ao código-fonte ou arquiteturas de ensemble complexas. Ao aproveitar descompiladores de código aberto existentes e LLMs prontos para uso, esta abordagem oferece uma maneira de baixo custo para mitigar a natureza "frágil" da descompilação de visão única, garantindo que comportamentos maliciosos ocultados pelas heurísticas de uma ferramenta não sejam perdidos.

Limitações
Os autores reconhecem algumas restrições:

• O benchmark utiliza arquivos de objeto relocáveis (.o) em vez de executáveis completos, o que pode não capturar totalmente o contexto de binários implantados.
• O estudo assume uma descompilação limpa; ele não avalia o desempenho contra binários fortemente ofuscados, empacotados ou com endurecimento contra descompilação.
• As descobertas baseiam-se em dois descompiladores específicos (Ghidra e RetDec) e podem variar com ferramentas proprietárias ou um maior número de visões.