DEFENDIFY: La Nostra Arma Segreta Contro il Malware Nascosto Grazie all’AI!

Ciao a tutti! Oggi voglio parlarvi di una sfida che nel mondo digitale diventa ogni giorno più seria: il malware. Sapete, quei software maligni capaci di rubare dati, spiarci, criptare i nostri file e diffondersi come un virus, colpendo non solo i nostri dispositivi ma anche sistemi informatici critici. Un bel problema, vero? Soprattutto ora che viviamo sempre più connessi, immersi in tecnologie come l’Internet of Things (IoT) e i Big Data, che trasformano le nostre città in vere e proprie “smart cities”. Comodissimo, certo, ma questa automazione spalanca anche nuove porte ai cyber-attacchi.

La Sfida del Malware “Camuffato”

Per difenderci, l’industria della sicurezza ha sviluppato tante tecniche, come le firme digitali o algoritmi di Machine Learning (ML). E funzionano, eh! Ma i “cattivi” non stanno a guardare. Hanno iniziato a usare tecniche di offuscamento: in pratica, “mascherano” il codice del malware per renderlo irriconoscibile agli antivirus tradizionali. Immaginate un ladro che si traveste per non farsi riconoscere dalle telecamere di sicurezza. Ecco, l’offuscamento fa qualcosa di simile con il codice malevolo.

Il problema è che non tutto il codice offuscato è cattivo. A volte, anche gli sviluppatori di software “buoni” (che chiamiamo goodware) usano tecniche simili per proteggere la loro proprietà intellettuale. Quindi, come distinguere un programma legittimo mascherato da un vero malware camuffato? Le tecniche attuali, anche quelle basate su ML e Deep Learning (DL), spesso faticano a riconoscere il malware *completamente* offuscato e richiedono un sacco di potenza di calcolo per l’addestramento dei modelli. Non proprio l’ideale per una difesa rapida ed efficiente.

La Nostra Risposta: DEFENDIFY

Ecco perché abbiamo pensato a DEFENDIFY. È il nostro nuovo framework, un sistema che abbiamo progettato per amplificare le difese contro questi nemici invisibili. Come ci riusciamo? Sfruttando un mix potente di Computer Vision (CV), Deep Learning (DL) e, soprattutto, Transfer Learning (TL).

L’idea geniale (passatemi il termine!) è trattare i file binari del software – sì, quella sequenza apparentemente incomprensibile di 0 e 1 – come se fossero delle immagini. E chi è bravissimo ad analizzare immagini? Esatto, le reti neurali convoluzionali (CNN), le stesse usate nel riconoscimento facciale o nella classificazione di foto!

Ma la vera magia la fa il Transfer Learning. Invece di addestrare da zero una rete neurale, che richiederebbe tempo e dati enormi, usiamo modelli già “esperti” nel riconoscere pattern visivi (addestrati su milioni di immagini come quelle del dataset ImageNet-1K). Trasferiamo questa loro “conoscenza” al nostro compito specifico: riconoscere i pattern visivi tipici del malware, anche quando è offuscato. È come se un medico esperto in radiografie imparasse a riconoscere anomalie specifiche in un nuovo tipo di scansione, senza dover ristudiare tutta la medicina da capo! Questo rende DEFENDIFY non solo potente ma anche molto più efficiente in termini di tempo e risorse computazionali.

Come Funziona DEFENDIFY nel Dettaglio?

Il nostro framework si basa su tre moduli principali che lavorano insieme:

• Dataset Creation: Qui raccogliamo i “campioni”. Prendiamo un sacco di software malevolo (malware) da repository noti come VirusShare e, dall’altra parte, software legittimo (goodware), come file di sistema di Windows o applicazioni comuni. Avere un buon mix è fondamentale per addestrare bene i nostri modelli.
• Binary Obfuscation: Questa è la fase “investigativa”. Prendiamo i campioni raccolti e, usando strumenti reali come quelli del Metasploit Framework (ad esempio, gli encoder XOR e il famigerato Shikata Ga Nai, molto usato dagli hacker), ne creiamo versioni offuscate. Poi, trasformiamo *tutti* i file binari (originali e offuscati) in immagini in scala di grigi. Ogni byte del file diventa un pixel! Sembra strano, ma crea delle “impronte digitali” visive uniche.
• Model Generation: Il cuore pulsante di DEFENDIFY. Qui entra in gioco l’intelligenza:
  • Entropy Tester: Prima di tutto, usiamo un test basato sull’entropia (una misura del “disordine” o della casualità dei dati) per capire se un file è probabilmente offuscato o meno. Il codice offuscato tende ad avere un’entropia diversa da quello normale. Abbiamo addestrato un classificatore (un KNN si è rivelato ottimo!) per fare questa prima scrematura.
  • Detection Model Selection e Training: A seconda del risultato dell’entropy tester, indirizziamo il campione-immagine verso uno dei due modelli DL specializzati (basati su architetture CNN come ResNet o EfficientNet), entrambi potenziati dal Transfer Learning. Uno è addestrato su immagini di file non offuscati, l’altro su quelle di file offuscati (XOR e Shikata Ga Nai). Congeliamo gran parte del modello pre-addestrato e affiniamo solo l’ultima parte per il nostro compito, poi sblocchiamo tutto per un’ulteriore messa a punto. Veloce ed efficace!
  • Model Validation: Ovviamente, dobbiamo essere sicuri che funzioni. Usiamo metriche standard come Accuratezza, Precisione, Recall e F1-Score per valutare le performance dei modelli e scegliere il migliore.

I Risultati? Promettenti!

Abbiamo messo alla prova DEFENDIFY testando quattro diverse architetture CNN: ResNet18, ResNet34, EfficientNetB3 ed EfficientNetV2S. Sapete chi ha vinto? Il “piccolo” ResNet18!

Nonostante sia l’architettura più leggera tra quelle testate, ha ottenuto risultati strabilianti:

• Per il malware non offuscato: un F1-Score del 99.34%! Praticamente perfetto.
• Per il malware offuscato (XOR e Shikata Ga Nai): un F1-Score del 97.5%! Un risultato eccezionale, considerando quanto sono subdole queste tecniche.

Ma non è tutto! ResNet18 si è dimostrato anche il più efficiente in termini di risorse. È il più veloce a classificare i campioni e consuma meno memoria RAM (circa 0.47 GiB durante i test). Questo è fondamentale perché significa che DEFENDIFY potrebbe potenzialmente girare anche su dispositivi con risorse limitate, non solo su potenti server.

Perché DEFENDIFY è Importante (Soprattutto per le Smart Cities)

Pensate alle nostre città intelligenti: gestione del traffico, monitoraggio dell’inquinamento, sicurezza pubblica… tutto connesso, tutto potenzialmente vulnerabile. Un attacco malware a uno di questi sistemi potrebbe avere conseguenze gravi. DEFENDIFY potrebbe essere integrato come un servizio di cybersecurity intelligente (magari nel tier GSS di un’architettura NSAI), analizzando continuamente il “traffico” digitale o permettendo agli utenti di verificare file sospetti tramite un’API.

La leggerezza di modelli come ResNet18 apre anche alla possibilità di deployare DEFENDIFY direttamente sui dispositivi “edge” (sensori, telecamere intelligenti, ecc.), offrendo una protezione in tempo reale proprio dove serve. Abbiamo anche creato un prototipo web funzionante per dimostrare come DEFENDIFY possa essere usato in pratica!

Cosa Ci Rende Diversi e Dove Possiamo Migliorare

Parliamoci chiaro, non siamo i primi a usare l’AI per scovare malware. Ma DEFENDIFY porta diverse novità significative:

• È il primo framework completo che integra un entropy tester per distinguere a priori tra file offuscati e non.
• Sfrutta il Transfer Learning in modo mirato per il malware offuscato, riducendo drasticamente tempi e costi di addestramento rispetto all’addestramento da zero. Abbiamo visto che con TL bastano pochi minuti su una buona GPU, contro potenziali settimane!
• È stato validato contro offuscatori reali come Shikata Ga Nai, rendendolo più robusto nel mondo reale.

Ovviamente, ci sono ancora sfide. Gli attacchi “zero-day” (malware nuovissimo, mai visto prima) sono sempre difficili da prevedere. Inoltre, dobbiamo continuare ad ampliare e diversificare i nostri dataset per coprire ancora più tecniche di offuscamento e famiglie di malware. L’adattabilità a diversi ambienti hardware (dai server potenti ai piccoli dispositivi IoT) è un altro aspetto da esplorare.

Conclusioni e Prossimi Passi

In sintesi, con DEFENDIFY abbiamo dimostrato che combinare Computer Vision, Deep Learning e Transfer Learning è una strada potentissima per combattere il malware offuscato. Trasformare il codice in immagini e usare modelli pre-addestrati ci permette di ottenere alta accuratezza (specialmente con ResNet18) e grande efficienza computazionale.

Per il futuro, vogliamo rendere i nostri modelli ancora più “trasparenti”, magari usando tecniche di interpretabilità per capire *perché* un file viene classificato come malware e *dove* si nasconde il codice malevolo. Continueremo a migliorare i dataset, esplorare nuove architetture (magari non basate su immagini?) e lavorare sulla compatibilità cross-architettura (pensiamo ai processori ARM, sempre più diffusi).

La lotta contro il malware è una corsa continua, ma con strumenti innovativi come DEFENDIFY, sentiamo di avere un’arma in più per rendere il nostro mondo digitale un posto un po’ più sicuro.

Fonte: Springer