DLMC_Net: Adaptive Self Attention Module and Customized Convolutional Neural Network with Borderline SMOTE for Classification of Malwares using Byte Code Images

Resumo Técnico: DLMC_Net para Classificação de Malware

Declaração do Problema
A rápida proliferação de variantes sofisticadas e geradas automaticamente de malware tornou os sistemas tradicionais de detecção baseados em assinaturas cada vez mais ineficazes. Embora o aprendizado de máquina (ML) e o aprendizado profundo (DL) tenham sido adotados para automatizar a detecção, os métodos tradicionais de ML frequentemente dependem de características extraídas manualmente que exigem muito conhecimento e têm dificuldade com malwares ofuscados ou de análise anti-estática. Além disso, as abordagens existentes de aprendizado profundo frequentemente enfrentam dois desafios críticos: a perda de informações semânticas durante a conversão de binário para imagem (devido ao truncamento ou preenchimento/padding) e o severo desequilíbrio de classes em conjuntos de dados de referência como o Malimg, onde certas famílias de malware superam vastamente outras, levando a um treinamento de modelo enviesado.

Metodologia
Os autores propõem o DLMC_Net, um novo framework de aprendizado profundo projetado para a classificação multiclasse de 25 famílias de malware usando Imagens de Byte Code (BCI). A metodologia integra três componentes principais:

1. Backbone de CNN Customizado: O modelo emprega uma Rede Neural Convolucional customizada para extrair características espaciais locais de entradas BCI em escala de cinza de 150×150. Este backbone consiste em dois blocos convolucionais, cada um contendo uma camada convolucional, Normalização de Lote (Batch Normalization, para estabilizar o treinamento e prevenir o deslocamento de covariância interna), ativação ReLU e Max Pooling (para reduzir a amostragem e o custo computacional).
2. Módulo de Auto-Atenção Adaptativa: Para abordar a limitação das CNNs em capturar o contexto global, as características espaciais extraídas são passadas por um mecanismo de auto-atenção adaptativa. Este módulo aprende dinamicamente a importância de diferentes regiões espaciais ao computar matrizes de Consulta (Q), Chave (K) e Valor (V). Ele calcula pontuações de atenção para ponderar características locais com base em sua relevância, capturando assim dependências de longo alcance e destacando regiões de malware discriminativas enquanto suprime informações redundantes.
3. Borderline SMOTE (BLS) para Desequilíbrio de Classes: Reconhecendo o desequilíbrio inerente de classes no conjunto de dados Malimg, os autores utilizam a técnica Borderline SMOTE. Diferente do SMOTE padrão, o BLS foca na geração de amostras sintéticas para classes minoritárias especificamente próximas às fronteiras de decisão (onde a classificação incorreta é mais provável). Esta estratégia de up-sampling garante uma distribuição equilibrada dos dados de treinamento, evitando que o modelo seja enviesado para as classes majoritárias.

O fluxo de trabalho envolve a conversão de binários de malware para BCI, redimensionamento, normalização dos dados, aplicação de BLS para balanceamento e, em seguida, o treinamento da arquitetura DLMC_Net. A classificação final é realizada via camadas totalmente conectadas e uma função de ativação Softmax.

Principais Contribuições
O artigo descreve cinco contribuições primárias:

1. Arquitetura Inovadora: O design de uma estrutura de CNN customizada especificamente otimizada para uma classificação robusta de malware multiclasse usando BCI.
2. Integração de Atenção: A incorporação de um módulo de auto-atenção adaptativa dentro da CNN para melhorar a representação de características, capturando tanto padrões locais quanto dependências globais.
3. Simplificação do Modelo: Uma redução no número total de parâmetros treináveis em comparação com modelos pré-treinados complexos, tornando a arquitetura mais eficiente.
4. Tratamento de Desequilíbrio: A aplicação de Borderline SMOTE ao conjunto de dados Malimg para reforçar a representação de classes minoritárias e melhorar a robustez da classificação.
5. Avaliação Abrangente: Uma análise comparativa profunda contra modelos de linha de base (baseline) de estado da arte (SOTA), demonstrando métricas de desempenho superiores.

Resultados Experimentais
O modelo foi avaliado no conjunto de dados de referência Malimg (9.366 imagens em 25 classes) e comparado com quatro modelos de aprendizado profundo de linha de base: VGG-16, InceptionResNet-V2, EfficientNet-B2 e DenseNet-201.

• Desempenho com BLS: O proposto DLMC_Net, quando combinado com BLS, alcançou métricas de desempenho excepcionais:
  • Acurácia: 99,92%
  • Precisão: 99,92%
  • Recall: 99,92%
  • F1-Score: 99,91%
  • AUC: 99,96%
• Comparação: Estes resultados superaram significativamente todos os modelos de linha de base, que alcançaram acurácias variando entre 91,42% e 92,24%.
• Estudo de Ablação: O estudo confirmou a necessidade de cada componente. Uma versão do modelo sem BLS ou o módulo de atenção caiu para 82,95% de acurácia. Adicionar BLS melhorou este valor para 87,23%, e a integração total do módulo de atenção resultou na acurácia final de 99,92%. Isso demonstra que a sinergia entre dados balanceados e o mecanismo de atenção é crítica para uma classificação de alto desempenho.

Significância e Alegações
Os autores alegam que o DLMC_Net fornece uma solução altamente eficaz e confiável para a classificação de malware em larga escala. A significância do trabalho reside em sua capacidade de superar as limitações tanto da detecção tradicional baseada em assinaturas quanto das abordagens padrão de aprendizado profundo ao:

• Lidar efetivamente com o problema de desequilíbrio de classes que tipicamente afeta os conjuntos de dados de malware.
• Capturar tanto padrões estruturais locais quanto dependências contextuais globais através da arquitetura híbrida CNN-Atenção.
• Alcançar uma acurácia de classificação quase perfeita (99,92%) em um benchmark padrão, sugerindo que pode auxiliar eficientemente especialistas em segurança na identificação de diversas famílias de malware.

O artigo conclui que o framework proposto é uma abordagem escalável para aplicações do mundo real e sugere trabalhos futuros envolvendo a integração de Aprendizado de Máquina Quântica (QML) para aumentar ainda mais o poder de representação e a eficiência computacional.