Ultra-Fusion: A Multimodal Dynamic Detection Framework for Malware Classification with Hybrid Sequence Engine

在数字世界中，软件程序是由长长的指令列表构建而成的，这些指令告诉计算机该做什么。当一个程序具有恶意时，它被称为恶意软件（malware），它通常通过对代码进行混淆或将其指令与无害指令混合来隐藏其真实本质。几十年来，安全专家一直试图通过寻找特定的、已知的模式来捕捉这些威胁，就像图书管理员将书名与一份禁书名单进行比对一样。然而，现代恶意软件变得过于聪明，它们不断改变外观，使得每次打开时看起来都像是一本不同的书，这使得这种简单的检查变得难以奏效。为了解决这个问题，研究人员转向观察程序在运行时是如何表现的，密切关注它向操作系统发出的特定请求。这些被称为 API 调用（API calls）的请求构成了一个序列，就像是一个行为指纹。现在的挑战在于如何快速且准确地读取这些指纹，即使在恶意软件试图通过在列表中插入虚假的、无害的请求来迷惑读者的情况下也是如此。

一个研究小组开发了一种名为 Ultra-Fusion 的新系统来应对这一问题，该系统通过同时从三个不同的角度观察恶意软件的行为。他们的这种方法并非依赖于单一的分析方式，而是将视觉快照、事件时间线和统计摘要结合成一个强大的决策。研究人员将原始的系统请求列表转换成了一张彩色图像，其中不同的颜色代表不同的信息类型：请求的身份、发生的频率以及执行的任务类型。这使得他们能够利用图像识别工具来识别恶意程序的独特“纹理”，即使请求的顺序被打乱了也能识别出来。与此同时，他们使用了一个专门设计的引擎来理解长链事件，帮助系统记住在时间上相隔较远的动作之间的联系。为了防范攻击者通过插入垃圾数据来掩盖踪迹的诡计，他们增加了第三层，即简单地统计整个列表中每种请求出现的频率，提供了一个依赖于整体频率而非特定顺序的安全网。

当团队在三组不同的恶意软件数据集上测试这个新框架时，结果非常一致。该系统在几乎所有情况下都能正确识别恶意软件，在最大的数据集上达到了 99.49% 的准确率。这一表现优于其他仅依赖单一分析类型（例如仅观察事件序列或仅观察视觉模式）的领先方法。研究人员发现，这种三种视图的结合是至关重要的；当他们移除系统的任何一个部分时，准确率都会下降，这证明了每个角度都提供了独特且必要的信息。该系统还展现出了极强的早期检测威胁的能力，在仅看到前十个系统请求后就能正确识别出恶意软件，这对于在攻击造成破坏之前阻止攻击至关重要。

或许最显著的发现是该系统在面对刻意干扰时保持冷静的能力。研究人员通过在恶意软件的指令列表中插入无害指令来测试该框架，模拟了坏代码试图隐藏在大量好代码中的攻击。即使列表中有一半的指令是虚假的，该系统仍保持了很高的准确度，而旧的方法则表现得非常吃力。这种韧性表明，系统的视觉和统计部分起到了稳定的锚定作用，使软件能够看穿噪声并识别出核心的恶意行为。此外，该系统表现出了高度的适应性；当在一种数据集上进行训练时，它能够以近乎完美的准确率识别出完全不同数据集中的恶意软件，这表明它学习的是恶意行为的本质，而非仅仅是记忆特定的例子。

研究人员还通过一种可以突出数据中最重要部分的技巧，深入研究了系统的内部运作机制。他们发现，系统将注意力集中在特定的高风险交互上，例如尝试加载隐藏代码或向另一个程序的内存写入数据，这些都是典型的攻击迹象。这种透明度证实了该系统并非在猜测，而是在识别真实的危险模式。通过将这三种截然不同的观察问题的方式相结合，Ultra-Fusion 框架提供了一个强大的新工具。它表明，通过同时从多个维度观察威胁，安全系统可以变得更加有效，从而在威胁不断演变的各种环境中实现更强大的防御。