Tri-Modal Contrastive Binary Analysis via Opcode Transformers, Control Flow Graph Isomorphism Networks, and System Call Embeddings: A Systematic Review of Zero-Day Malware Detection Frameworks

在数字世界中，软件通常被视为一个密封的盒子。为了理解一个程序的功能，安全专家传统上会检查其代码，就像机械师检查发动机一样。他们可能会阅读原始指令，观察程序的任务跳转路径图，或者观察程序运行时发生的情况。几十年来，这些方法足以捕捉已知的威胁。然而，形势已经发生了变化。现代攻击者学会了伪装他们的软件，将恶意程序包裹在加密层中，或者重新排列其内部逻辑，使得代码看起来无害，尽管其行为仍然具有危险性。当一种观察程序的方法因为伪装过于巧妙而失效时，整个防御系统就会变得盲目。这留下了一个关键的缺口：当一个全新的、未见的威胁能够躲避你所有的标准检测工具时，你该如何识别它？

来自印度桑迪普理工学院与研究中心（Sandip Institute of Technology and Research Centre）的一个研究小组对解决这一谜题的高级方法进行了全面分析。他们并没有仅仅依赖单一的检查方法，而是审查了现有高科技系统如何同时通过三种不同的视角来观察软件。这种三模态方法将三种截然不同的分析类型整合到一个统一的视图中：阅读原始汇编指令、绘制程序的结构流，以及观察程序在运行时与计算机操作系统的交互。通过研究这些框架如何强制要求三种不同的视角对软件的本质达成一致，该综述展示了即使攻击者试图从其中一两个视角中隐藏起来，恶意代码仍能被识别出来。

研究人员并没有从零开始构建一个新的病毒检测器并在实验室进行测试；相反，他们对现有的高科技研究进行了系统性的综述。他们收集并分析了 2020 年至 2026 年间发表的 15 项主要研究和 50 多篇支持性论文。他们的目标是观察这些先进系统在面对最严峻挑战时表现如何：即零日恶意软件（即全新的、未知的恶意软件）和高度混淆的代码（即为了迷惑分析而刻意打乱顺序的代码）。他们发现，最有效的系统不仅仅是简单地叠加不同方法的结果，而是将它们融合在一起，从而使系统能够学习代码、结构与行为之间的深层联系。

他们研究的核心发现是，结合这些视角可以创造一个安全网。如果攻击者使用某种技术扰乱代码，导致指令读取器无法理解，那么结构图可能仍然能揭示程序的真实形态。如果攻击者随后改变结构以迷惑地图，系统则可以通过观察程序如何与操作系统对话来寻找真相。研究人员确定了一种被顶尖框架所使用的特定数学策略，用以使这三种视角保持一致。这种策略强制计算机将同一程序的代码、结构和行为视为同一个对象，尽管它们在表面上看起来迥然不同。当系统遇到一个新的未知文件时，它会检查这三个视角是否指向同一个结论。如果它们一致，则该文件很可能是安全的。如果它们指向恶意模式，系统就会将其标记出来，即使该文件以前从未被见过。

该综述中最显著的发现之一是系统如何处理欺骗。攻击者经常试图通过减慢程序运行速度或以一种使其看起来像无害文件的形式进行隐藏来欺骗安全软件。研究人员发现，最稳健的系统使用了一种智能权重机制。想象一位保安正在听取三位证人对嫌疑人的描述。如果其中一位证人在撒谎或感到困惑，保安并不会忽略另外两位，而是会更加关注那些讲述一致故事的证人。同样，这种框架能够自动检测出它的三个“证人”中何时有某一个被攻击手段所蒙蔽，并迅速将重心转移到另外两个证人身上。这使得系统能够保持极高的准确度，即使在攻击者使用复杂的技巧进行隐藏时，准确率也经常超过 98.5%。

该研究同时也强调了这项技术的实际局限性。虽然该系统极其精确，但并非没有代价。通过三种不同的视角分析程序需要消耗大量的计算能力和时间。研究人员指出，虽然该过程的部分环节非常迅速，但通过模拟环境观察程序运行的部分可能需要每处理一个文件耗费数分钟，这对于每天检查数千个文件来说速度太慢了。然而，该综述建议，通过使用这些先进的对齐技术，安全系统最终可以学会仅通过观察静态代码来预测程序的行为，从而可能不再需要缓慢且耗时的运行时检查。这将使系统兼具快速扫描的速度与深度行为分析的准确性。

研究人员总结道，恶意软件检测的未来在于这种多维度的智能。他们认为，面对现代威胁，仅仅依赖单一方法（无论是观察代码还是观察行为）已经不再足够。未来的路径在于构建能够综合不同来源信息的系统，从而描绘出程序意图的完整图景。尽管仍存在障碍需要克服，例如需要更强大的计算机来处理复杂数据，以及如何使这些系统适应不同类型的硬件，但该综述证实，这种方法为解决日益增长的隐形零日威胁问题提供了一个充满前景的解决方案。这项工作为安全团队提供了一份路线图，指导他们如何从“反应式防御”（即等待特征码出现）转向“主动式检测”（即无论威胁如何隐藏，都能通过其本质特征识别出威胁）。