Resumo Técnico: Um Framework de Mistura de Especialistas para Tarefas Múltiplas para Classificação de Malware, Detecção de Empacotamento e Atribuição de Família

Declaração do Problema

A análise de malware enfrenta desafios significativos devido à heterogeneidade inerente aos dados de malware, à prevalência de binários empacotados (packed) e ofuscados, e à diversidade na distribuição das famílias de malware. Mecanismos de detecção tradicionais de modelo único frequentemente lutam para generalizar através dessas variadas distribuições de dados, levando à degradação do desempenho, particularmente em amostras raras ou fortemente ofuscadas. Além disso, os frameworks existentes tipicamente dependem de arquiteturas monolíticas que tentam otimizar múltiplos objetivos heterogêneos (por exemplo, classificação de família, detecção de empacotamento e discriminação entre benigno/malware) simultaneamente. Esta abordagem frequentemente resulta em "transferência negativa de tarefa" (negative task transfer), onde os requisitos estruturais e semânticos conflitantes de diferentes tarefas interferem uns nos outros, impedindo o modelo de aprender representações eficazes para todos os objetivos.

Metodologia

Os autores propõem um framework unificado de aprendizado de múltiplas tarefas baseado em arquiteturas de Mistura de Especialistas (Mixture of Experts - MoE) para abordar essas limitações. A hipótese central é que decompor o problema em redes de especialistas especializadas, coordenadas por mecanismos de roteamento (gating) adaptativos, permite um aprendizado específico para cada tarefa mantendo a escalabilidade.

1. Representações de Entrada

O framework avalia o desempenho através de duas modalidades distintas de entrada:

• Recursos Estruturados EMBER: Descritores numéricos de alta dimensão (2.381 dimensões) extraídos de arquivos PE (Portable Executable) usando o framework EMBER. Estes incluem metadados de PE analisados, informações de cabeçalho, características de seção, tabelas de importação/exportação e histogramas de bytes e medidas de entropia independentes de formato.
• Representações de Imagem 1D Bruta: Conversão direta de bytes executáveis brutos em sequências de intensidade de tons de cinza unidimensionais (testadas em comprimentos de 1.024, 4.096 e 16.384 bytes), permitindo que o modelo aprenda a partir de dados binários de baixo nível sem engenharia de recursos explícita.

2. Variantes Arquiteturais

O estudo investiga sistematicamente três paradigmas de MoE:

• MoE Homogênea (Homo-MoE): Utiliza três redes de especialistas idênticas e uma única rede de roteamento compartilhada. Todos os especialistas compartilham a mesma arquitetura (camadas densas), mas aprendem diferentes padrões de características. Emprega uma perda de Erro Quadrático Esperado e um regularizador de reconstrução para garantir a significância do espaço latente.
• MoE Heterogênea (Hetero-MoE): Combina especialistas estruturalmente diversos (por exemplo, um com conexões de salto/skip connections, um com redução de dimensões, um com camadas de gargalo/bottleneck) para capturar informações complementares. Utiliza a perda de Log-Verossimilhança Negativa (NLL) para promover o aprendizado competitivo entre as estruturas diversas.
• Mistura de Especialistas com Múltiplas Portas (Multi-Gate Mixture of Experts - MMoE): Projetada especificamente para cenários de múltiplas tarefas, esta arquitetura emprega redes de roteamento específicas para cada tarefa independentes. Em vez de uma única porta que roteia entradas para todas as tarefas, o MMoE permite que cada tarefa (Classificação de Família, Detecção de Empacotamento, Identificação de Malware/Benigno) selecione e pondere independentemente as saídas dos especialistas. Isso desacopla o processo de roteamento para mitigar a transferência negativa entre tarefas.

3. Estratégia de Treinamento e Avaliação

• Objetivos de Múltiplas Tarefas: O framework realiza simultaneamente três tarefas:
  1. Classificação de família de malware (multiclasse).
  2. Detecção de empacotado vs. não empacotado (binário).
  3. Identificação de Malware vs. Benigno (binário).
• Robustez Adversária: Para avaliar a resiliência, os autores utilizam o PyMetaEngine para gerar amostras de malware mutadas, criando conjuntos de dados adversários que introduzem mudanças de distribuição enquanto preservam a semântica do programa.
• Métricas: O desempenho é medido usando Acurácia, F1-score e uma Taxa de Detecção Combinada (CDR), que exige que todas as três tarefas estejam corretas para que uma amostra seja contada como sucesso. A Taxa de Sucesso de Ataque (ASR) é definida como $1 - CDR$.

Principais Contribuições

1. Formulação Unificada de Múltiplas Tarefas: O artigo formula a análise de malware como um único framework que integra classificação de família, detecção de empacotamento e separação de malware/benigno, afastando-se de modelos isolados de tarefa única.
2. Investigação Arquitetural: Projeta e avalia arquiteturas de MoE Homogênea, Heterogênea e de Múltiplas Portas, destacando o impacto da diversidade de especialistas e das estratégias de roteamento na análise de malware.
3. Comparação de Representação de Recursos: Uma análise comparativa abrangente é realizada entre os recursos estruturados EMBER e as representações de imagem 1D bruta dentro do contexto de MoE.
4. Avaliação de Robustez: Os modelos são testados sob mudanças de distribuição induzidas por ataques adversários metamórficos baseados em mutação para avaliar a resiliência no mundo real.
5. Descobertas Empíricas: O estudo demonstra que o Multi-Gate MoE (MMoE) alcança desempenho e estabilidade superiores, particularmente quando utilizando recursos estruturados EMBER e dados de treinamento aumentados por mutação.

Resultados Experimentais

Os experimentos foram conduzidos em um conjunto de dados de 66.400 arquivos PE (26.400 malware, 40.000 benignos) através de múltiplas sementes aleatórias.

• Desempenho Padrão (Recursos EMBER): O modelo MMoE alcançou a maior Taxa de Detecção Combinada (CDR) de base de 0,9670, superando o Homogeneous MoE (0,9466) e o Heterogeneous MoE (0,9425). O MMoE também apresentou a menor Taxa de Sucesso de Ataque (ASR) de 3,35%.
• Robustez Adversária (Amostras Mutadas): Quando testado contra amostras mutadas (Dataset D2), o MMoE manteve um CDR de 0,9342, enquanto os modelos Homogeneous e Heterogeneous MoE sofreram quedas significativas para 0,8635 e 0,8577, respectivamente. Isso indica a capacidade superior do MMoE em lidar com mudanças de distribuição.
• Impacto do Aumento de Dados: Treinar o MMoE em um conjunto de dados aumentado com amostras mutadas (Dataset D3) melhorou ainda mais o desempenho, atingindo um CDR de 0,9744 com um ASR de apenas 2,56%.
• Resultados de Imagem 1D Bruta: Ao utilizar representações de bytes 1D brutas, o Heterogeneous MoE superou o MMoE (CDR 0,9585 vs. 0,9478). Isso sugere que, para dados brutos, a diversidade arquitetural dos especialistas pode ser mais benéfica do que o roteamento de tarefas específicas, enquanto para recursos estruturados, o roteamento de tarefas específicas é crítico.
• Eficiência: O modelo MMoE demonstrou alta eficiência computacional, com um tempo de teste de aproximadamente 2,05 µs por amostra.

Significância e Alegações

O artigo afirma que o framework proposto oferece uma direção promissora para sistemas de detecção de malware escaláveis e resilientes. A principal significância reside na demonstração de que o roteamento de especialistas específico para cada tarefa (via MMoE) melhora significativamente a precisão e a generalização em comparação com estratégias de roteamento unificadas, particularmente em distribuições de malware complexas e heterogêneas.

Os autores observam modestamente que a vantagem do roteamento de tarefas específicas não é independente da representação de entrada; ela é mais eficaz quando combinada com a riqueza semântica dos recursos estruturados EMBER. Embora as representações 1D brutas se beneficiem mais de estruturas de especialistas heterogêneas, o framework MMoE com recursos EMBER representa a configuração mais robusta para lidar com os diversos desafios do malware moderno, incluindo empacotamento e mutações metamórficas. O trabalho destaca que a especialização de especialistas e a computação condicional são mecanismos eficazos para reduzir a interferência entre objetivos de segurança concorrentes.