Vision Transformer-Based Methods for Robust Malware Analysis = 강건한 악성코드 분석을 위한 비전 트랜스포머 기법|RISS 상세보기

다국어 초록 (Multilingual Abstract)

The advancement of artificial intelligence has achieved significant success across various domains, including computer vision, natural language processing, and generative AI. This advancement is also extending to the field of cybersecurity. In particular, AI-based malware attacks enable more sophisticated and complex attack scenarios, such as automated malware generation and propagation. These attacks are particularly threatening because they allow attackers to execute attacks using AI tools even without expertise in cyberattacks. Furthermore, attackers can rapidly generate malware variants or apply novel obfuscation techniques to easily bypass existing malware defense systems. Therefore, it is necessary to develop malware analysis methods that are robust against obfuscation techniques.
Among deep learning-based approaches, image-based malware analysis methods are effective at detecting new malware variants by extracting and analyzing malware features based on visual similarities and texture patterns in malware images. Convolutional Neural Networks (CNNs), a representative vision model widely employed in these methods, have shown high malware classification performance. However, CNNs have limitations in effectively utilizing global features of images, making them vulnerable to obfuscation techniques such as code insertion or transposition. To address these limitations, Vision Transformer (ViT)-based methods have been researched for malware analysis. However, these methods fail to capture local features of images or have generalization performance limitations of ViTs, making effective malware analysis difficult. Therefore, to employ ViTs in the malware domain, it is necessary to develop ViT-based methods that can provide effective and robust malware analysis.
Therefore, in this paper, we propose Vision Transformer (ViT)-based methods for robust malware analysis. The contributions of this research are as follows: (1) We introduce ViT-based methods for malware analysis. Additionally, we develop a novel model called MalFormer, specifically designed for image-based malware analysis, and propose a new analysis method based on it. (2) To overcome the limitations of ViT-based models and enhance their generalization performance, we introduce Sharpness-Aware Minimization (SAM) into the training process. (3) We validate that the proposed methods achieve high performance and robustness against obfuscation techniques across various malware datasets, and analyze the model’s predictions based on Explainable AI (XAI).
From the experimental results, we show that the proposed methods achieve high performance. In particular, MalFormer, specifically designed for malware analysis, achieves the highest performance and provides strong robustness against obfuscated samples by enhancing sensitivity to key features while maintaining a well-balanced integration of local and global features. We show that applying SAM optimizer overcomes the limitations of ViT and improves generalization performance, enabling the effective use of ViT-based methods for malware analysis. We validate that the proposed methods provide strong robustness through visualization-based analysis including XAI. Therefore, we provide Vision Transformer-based methods that can be effectively applied to malware analysis, and we expect this work to contribute to future research in vision model-based malware analysis.

번역하기

국문 초록 (Abstract)

인공지능의 발전은 컴퓨터 비전, 자연어 처리, 생성형 AI 등 다양한 분야에서 큰 성공을 거두었으며, 사이버 보안 분야도 변화시키고 있다. 특히 AI 기반 악성코드 공격은 자동화된 악성코드 생성 및 전파 등 더욱 정교하고 복잡한 공격 시나리오를 가능하게 한다. 이러한 공격은 공격자가 사이버 공격에 대한 전문 지식 없이도 AI 도구를 사용하여 공격을 수행할 수 있다는 점에서 특히 위협적이다. 또한 공격자는 빠르게 변종 악성코드를 생성하거나 새로운 난독화 기법을 적용하여 기존의 악성코드 방어 체계를 손쉽게 우회할 수 있다. 따라서, 악성코드 분석에 대한 연구가 필요하며 특히 난독화에 강건한 기법에 대한 연구가 요구된다.
딥러닝 기반 접근법 중 이미지 기반 악성코드 분석 기법은 악성코드 이미지의 시각적 유사성과 텍스처 패턴을 기반으로 악성코드 특징을 추출하고 분석하여 새로운 악성코드 변종을 탐지하는 데 효과적이다. 이러한 방법에서 널리 사용되는 대표적인 Vision 모델인 Convolutional Neural Networks (CNNs)는 높은 악성코드 분류 성능을 보여주었다. 그러나 CNN 계열 모델은 이미지의 전역적 특징을 효과적으로 활용하는 데 한계가 있어 코드 삽입이나 전치와 같은 난독화 기법에 취약하다. 이러한 한계를 해결하기 위해 악성코드 분석을 위한 Vision Transformer (ViT) 기반 방법들이 연구되었다. 그러나 이러한 방법들은 이미지의 국소적 특징을 포착하지 못하거나 ViT의 일반화 성능 한계를 가지고 있어 효과적인 악성코드 분석을 어렵게 한다. 따라서 악성코드 도메인에서 ViT를 활용하기 위해서는 효과적이고 강건한 악성코드 분석을 제공할 수 있는 ViT 기반 방법에 대한 연구가 필요함을 시사한다.
따라서 본 논문에서는 강건한 악성코드 분석을 위한 Vision Transformer 기반 기법들을 제안한다. 본 연구의 기여는 다음과 같다. (1) 악성코드 분석을 위한 Vision Transformer 기반 기법들을 소개하고, 이미지 기반 악성코드 분석에 특화된 새로운 모델 MalFormer를 설계하여 이를 기반으로 한 분석 기법을 제안한다. (2) ViT 기반 모델의 한계를 극복하고 일반화 성능을 향상시키기 위해 학습 과정에 Sharpness-Aware Minimization (SAM) 최적화 기법을 도입한다. (3) 다양한 악성코드 데이터셋에서 제안하는 기법들이 높은 성능과 난독화 기법에 대한 강건성을 달성함을 검증하고, Explainable AI(XAI)를 기반으로 모델의 예측을 분석한다.
실험 결과를 통해 제안하는 기법들이 높은 성능을 달성함을 보인다. 특히 악성코드 분석에 특화된 MalFormer는 가장 높은 성능을 달성하며, 핵심 특징에 대한 민감도를 향상시키면서 국소적 특징과 전역적 특징의 균형 잡힌 통합을 유지함으로써 난독화된 샘플에 대해 강한 강건성을 제공한다. 또한 SAM 최적화 적용을 통해 ViT의 한계를 극복하고 일반화 성능을 향상시켜 악성코드 분석에 ViT 기반 기법을 효과적으로 활용할 수 있음을 검증하였다. XAI를 포함한 시각화 기반 분석을 통해 제안하는 기법들이 우수한 강건성을 보인다. 따라서 본 논문은 악성코드 분석에 효과적으로 적용될 수 있는 Vision Transformer 기반 기법들을 제공하며, 이를 통해 향후 Vision 모델 기반 악성코드 분석 연구에 기여할 것으로 기대한다.

번역하기

인공지능의 발전은 컴퓨터 비전, 자연어 처리, 생성형 AI 등 다양한 분야에서 큰 성공을 거두었으며, 사이버 보안 분야도 변화시키고 있다. 특히 AI 기반 악성코드 공격은 자동화된 악성코드 ...

목차 (Table of Contents)