💻 computer science

MalTree: Tracing Malware Evolution from Embeddings at Scale

该论文介绍了 MalTree，这是一个可扩展的框架，它通过将生物信息学系统发育技术进行适配，利用结构、行为和基于图像的特征来自动对恶意软件演化进行建模，实现了 87% 的时间一致性，并赋能了主动的、基于谱系的防御策略。

原作者： Akash Amalan, Georgios Smaragdakis, Tom J. Viering

发布于 2026-06-08

📖 1 分钟阅读☕ 轻松阅读

原作者： Akash Amalan, Georgios Smaragdakis, Tom J. Viering

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，计算机病毒（恶意软件）的世界并非一堆混乱、随机的糟糕代码，而是一棵巨大的、不断演化的家族树，就像人类的历史或流感病毒的传播一样。

长期以来，安全专家一直在玩一场“打地鼠”的游戏。他们等待新病毒出现，研究它，然后建立一道盾牌来阻止它。但当专家建立好盾牌时，病毒已经改变了面孔，溜了过去，并创造出了一个新版本。这篇名为 MalTree 的论文提出了一种方法，让我们不再玩“打地鼠”，而是开始理解其家族历史。

以下是他们实现这一目标的拆解过程，使用了简单的类比：

1. 问题所在：这种“反应式”的游戏

把检测恶意软件想象成夜店的保安。保安有一份已知坏人的名单（特征码）。如果有人看起来像名单上的坏人，就会被踢出去。但坏人们很聪明，他们会戴上伪装（加密）或更换衣服（多态性）来让自己看起来不同。等到保安更新名单时，坏人早就再次变装了。

作者认为，我们不应该只盯着单个的“坏人”，而应该观察他们的家族树。如果我们知道“病毒 A”是“病毒 B”的父母，而“病毒 B”是“病毒 C”的父母，我们就能在“病毒 D”出现之前预测它可能长什么样。

2. 解决方案：MalTree（数字系谱学家）

研究人员构建了一个名为 MalTree 的工具。他们没有逐行阅读代码（这就像试图阅读一本你不会的语言编写的书），而是使用了一种借鉴自生物学的方法——系统发育学（Phylogenetics）。

恶意软件的 DNA： 在生物学中，科学家通过比较 DNA 来观察两种动物之间的亲缘关系。MalTree 对恶意软件也做了同样的事情。它获取一个病毒并将其转化为一个“指纹”（称为嵌入/embedding）。
三种类型的指纹： 为了获得完整的图景，他们并没有只看一个维度。他们从三个不同的“角度”进行观察：
1. 骨架（静态）： 代码在静止状态下的样子（就像观察汽车的发动机缸体）。
2. 行为（动态）： 病毒运行时所做的动作（就像观察一辆车行驶的过程，看它是否超速或转向）。
3. 视觉（图像）： 他们将代码转化为一张图片（类似于条形码），并利用人工智能来“识别”模式，类似于人类识别面孔的方式。

他们将这三种视角结合在一起，为每个病毒生成了一个单一且极其详细的指纹。

3. 构建家族树

拥有指纹后，他们使用数学方法（具体来说是名为 UPGMA 和 Neighbor-Joining 的算法）来计算每个病毒与其他病毒之间的“差异度”。

如果两个病毒的指纹非常相似，它们会被放在树的相近位置（兄弟姐妹）。
如果它们非常不同，则会被放在较远的位置（远房亲戚）。

他们针对 103,883 个不同的恶意软件样本进行了这项工作。这是一场规模宏大的家族聚会！

4. “时光机”测试

一个关键问题是：这棵树是真的，还是仅仅是计算机的猜测？

为了证明其有效性，研究人员使用了 VirusTotal 时间戳（即病毒首次向互联网报告的日期）。

逻辑： 在真实的家族树中，“父母”必须在“孩子”之前存在。
测试： 他们检查了在时间上较早出现的病毒，是否确实被放置在树的更高处（更接近根部），而较晚出现的病毒则处于较低处。
结果： 它在 87% 的情况下都奏效了。这意味着他们构建的这棵树符合这些病毒演化的真实历史。

5. 他们的发现（“顿悟时刻”）

论文强调了利用这棵树取得的几个关键发现：

不同的进化速度： 就像有些家庭每年都有孩子，而有些家庭则十年才生一个，有些恶意软件家族的进化非常缓慢，而另一些则变异得极快。其中一个家族（Bashlite）的进化速度比其他家族快 10 倍以上。这表明安全团队不能使用“一刀切”的防御策略；他们需要根据特定的病毒家族来调整自己的应对速度。
Mirai 僵尸网络： 他们追踪了著名的 Mirai 病毒（曾导致 2016 年大规模互联网中断）。这棵树正确识别了它的“后代”，包括 Bashlite、Okiru 和 Gafgyt。这与人类专家经过多年人工调查所掌握的知识相吻配合，证明了计算机可以在几小时内完成人类需要数月才能完成的工作。
“枢纽”问题： 他们发现有些病毒充当着“运输卡车”（加载器/loaders）的角色，携带许多不同类型的恶意载荷。树展示了这些连接，但也发出了警告：有时病毒看起来有亲缘关系，仅仅是因为它们使用了相同的工具，而不是因为它们真的是家族成员。

核心结论

MalTree 是一个将混乱的计算机病毒转化为有序家族树的工具。通过理解家族历史，安全专家可以停止仅仅对最新的伪装做出反应，转而开始预判病毒家族下一步将如何演化。

这就像是从试图在黑暗中抓捕单个小偷，转变为拥有一张完整的犯罪地下世界地图，清楚地知道谁与谁有亲缘关系，以及他们下一步可能在哪里袭击。

技术摘要：MalTree —— 大规模嵌入向量下的恶意软件演化追踪

1. 问题陈述

当前的恶意软件检测范式在本质上是响应式的。针对已知样本训练的机器学习模型会随着威胁通过多态性、变形性和混淆技术进行的演化而性能退化。虽然理解恶意软件家族之间的演化关系可以为主动防御提供信息，但通过逆向工程来揭示谱系是非常缓慢的，通常需要数月甚至数年时间。此外，现有的恶意软件分析系统发育方法受限于样本量小、单一特征模态或缺乏时间验证（无法确认推断出的树结构是否反映了真实的出现时间线）等问题。在将演化分析扩展到大规模数据集的同时，验证结构相似性是否对应于真实的遗传谱系，存在着关键的技术空白。

2. 方法论

作者提出了 MalTree，这是一个应用生物信息学启发式系统发育技术的框架，能够处理前所未有的规模。该流水线包含四个主要阶段：

2.1. 多模态嵌入提取

由于直接分析原始二进制文件（通常会被加壳/压缩）并不理想，MalTree 分析从受控沙箱执行中提取的内存转储，以揭示解密后的代码和运行时状态。它提取了三种互补的嵌入向量：

伪静态嵌入 ( $e_s$ )： 源自可执行文件部分（头部、导入表、导出表、操作码），使用 LIEF 库进行处理，并通过文本嵌入模型（OpenAI text-embedding-3-large）编码为 3,000 维，并与字节直方图进行拼接。
动态嵌入 ( $e_d$ )： 捕获沙箱执行过程中的行为轨迹（文件、进程、注册表、网络、互斥体活动），编码为 1,000 维。
图像嵌入 ( $e_i$ )： 将内存转储转换为 RGB 图像（bin2png），并通过在恶意软件图像基准测试上预训练并在本数据集上进行微调的 ResNet-50 架构进行处理，生成 2,048 维向量。

这些嵌入通过拼接和两层神经网络进行融合，将合并后的 6,560 维降至 1,000 维的表示形式，用于构建进化树。

2.2. 进化树构建

该框架利用嵌入空间中的成对距离构建系统发育树，采用了两种基于距离的算法：

UPGMA（非加权配对法及算术平均值法）： 假设进化速率是恒定的（分子钟）。
邻接法 (Neighbor-Joining, NJ)： 能够适应速率异质性，允许不同的谱系以不同的速度进行演化。
作者利用 RapidNJ 实现了接近 $O(n^2)$ 的扩展性，从而能够处理超过 100,000 个样本。

2.3. 时间验证

由于恶意软件缺乏基因序列和已知的分歧日期，MalTree 引入了一种创新的验证方法，使用 VirusTotal 首次提交时间戳 作为出现时间的代理。

定根 (Rooting)： 使用具有最早时间戳的样本（外类群定根）或通过中点定根法对树进行定根。
一致性指标： 框架通过比较推断的分歧顺序与时间戳来验证进化树。对于共享最近共同祖先 (MRCA) 的兄弟对，到 MRCA 路径长度（分支距离）较短的样本被推断为出现较早。框架计算一个“时间一致性得分”，即进化树推断的顺序与时间戳顺序相匹配的兄弟对比例。

2.4. 家族间分析

为了推断家族之间的关系，框架按家族（由 VirusTotal 共识标签确定）对样本进行聚合。它计算每个家族的叶节点到其共享 MRCA 的中值路径距离。通过将较早分歧（中值距离较短）的家族指向较晚分歧（距离较长）的家族来创建有向边，边权重代表源家族的中值距离。

3. 核心贡献

大规模系统发育分析： 作者构建了经过验证的、涵盖 103,883 个恶意软件样本 和 538 个家族 的系统发育树。该分析在 20 核集群上完成，UPGMA 耗时约 11 小时，NJ 耗时约 3 天，代表了迄今为止规模最大的此类分析。
时间验证框架： 论文引入了一种利用 VirusTotal 时间戳验证演化方向性的方法，解决了先前研究中推断出的进化树未经真实世界出现时间线验证的问题。
可解释的演化洞察： 该框架包含树简化和家族间分析的方法，能够揭示与公开网络安全情报一致的关系（例如 Mirai 僵尸网络的谱系）。
开源发布： 代码和嵌入向量已向社区发布，以促进进一步研究。

4. 实验结果

嵌入质量： 结合多模态嵌入后，使用线性探测实现的家族分类准确率达到 93.69%，优于单一模态。图像嵌入单独实现的准确率为 94.91%，表明视觉结构在区分家族方面具有很强的辨别力。
时间一致性： 使用外类群定根的邻接法（NJ）实现了 87.1% 的时间一致性得分。这表明推断出的进化关系与真实的出现时间线高度吻aligned。相比之下，UPGMA 在其标称配置下表现良好（86.0%），但在被迫采用替代定根方案时性能显著下降，这表明恶意软件的演化往往违反了恒定速率假设。
演化速率： 对嵌入漂移的分析表明，不同家族之间的突变率是非均匀的。某些家族（如 Bashlite, Syslogk）的漂移率比其他家族高出 10 倍以上，这违反了 UPGMA 所需的分子钟假设，从而更倾向于使用邻接法。
案例研究：
- Mirai 僵尸网络： 推断出的进化树正确识别了五个已知的 Mirai 后代（Bashlite, Okiru, MooBot, Gafgyt, Rapperbot），其边权重与记录在案的代码谱系和威胁情报一致。对导入/导出符号的静态分析证实了高度的代码复用（例如 Mirai 与 Okiru 之间有 82% 的重叠）。
- SmokeLoader： 框架识别出了交付链关联（例如与 Amadey, RedLine 的关联），而非代码继承关系，展示了其捕捉操作接近性的能力。
- 观察到的局限性： 框架捕捉的是功能相似性而非组织关系。例如，Conti 生态系统（Wizard Spider 组织）并未聚集在一起，因为尽管拥有共同的作者，但其工具（银行木马、加载器、勒索软件）占据了特征空间的不同区域。

5. 重要性与主张

论文声称 MalTree 为实现从 基于样本的分类向感知谱系的演化建模 的转变奠定了基础。通过证明系统发育方法可以在大规模范围内捕捉有意义的演化结构，这项工作表明，检测策略应当根据特定恶意软件家族的演化节奏进行定制。

作者强调，其方法通过产生数周而非数月（手动逆向工程所需时间）的演化洞察，来补充现有的工作流程。然而，他们对研究范围保持了审慎的态度，指出：

框架捕捉的是 功能性 关系（代码复用、共享工具包），而非 组织性 关系（威胁行为者归属）。
它无法自动区分代码演化、交付链关联以及偶然的特征空间接近。
推断出的树的有效性依赖于这样一个假设：在兄弟对内部，较短的分支长度对应于较早的出现，这是一个“局部时钟”假设，该假设在浅层分歧中经验证成立，但在高度不规则的演化中仍需进一步验证。

最终，MalTree 提供了一种可扩展且自动化的方法，用于可视化并验证不断演进的数字生态系统，为安全从业人员提供调查假设，并提供对恶意软件家族如何随时间演化的更深层次理解。