Come le heatmap trasformano i report dei malware in classificazioni super-precise?

Riconoscere a quale famiglia appartiene un malware è una delle sfide più spinose della cybersicurezza. Molti studi usano divisioni casuali dei dati, ma questo porta a risultati troppo ottimistici: quando il software viene lanciato sul campo, i comportamenti cambiano e la precisione cala. Per affrontare il problema, un team ha creato una pipeline “leakage‑aware” che converte i report JSON di CAPEv2, generati da sandbox dinamiche, in immagini a mappa di calore (heatmap). Ogni riga della heatmap rappresenta una chiave di comportamento (es. creazione di file, chiamate di rete) e i valori sono normalizzati per evidenziare le attività più frequenti.

I ricercatori hanno testato diversi modelli – Random Forest, MLP, CNN64, HybridNet e ResNeXt‑50 – usando due tipi di split: stratificato (bilanciato per famiglia) e cronologico (rispettando l’ordine temporale). Sul dataset Avast‑CTU, con dieci famiglie di malware, la Random Forest ha raggiunto il 97,2 % di accuratezza e un AUC di 0,993, dimostrandosi veloce su CPU. Il ResNeXt‑50, però, ha superato tutti con il 98,4 % di accuratezza e un AUC di 0,998, offrendo anche mappe Grad‑CAM che mostrano quali parti della heatmap hanno guidato la decisione.

Oltre alle performance, lo studio ha valutato velocità di inferenza e consumo di memoria GPU, e ha analizzato l’impatto della dimensione del vocabolario e della scelta delle chiavi. I risultati confermano che, sebbene i metodi ensemble rimangano solidi, le CNN basate su heatmap garantiscono maggiore precisione, interpretabilità e resistenza al drift temporale, rendendole una scelta promettente per i sistemi di triage in tempo reale.

Il processo di trasformazione dei report CAPEv2 in heatmap parte dall’estrazione di tutti i campi chiave presenti nel JSON, come "behavior", "network", "file" e "registry". Questi campi vengono flattenati in una struttura tabellare dove ogni colonna corrisponde a una specifica azione (es. "create_file", "open_socket"). Per gestire la sparsità, si applica una soglia di frequenza minima, eliminando chiavi rare che introdurrebbero rumore. I valori numerici (numero di occorrenze, durata, dimensione) sono normalizzati con lo Z‑score per preservare la distribuzione gaussiana, mentre le variabili categoriche (tipo di file, protocollo) vengono codificate con one‑hot encoding. La matrice risultante è poi ridimensionata a 64×64 pixel, dove l’intensità di ogni pixel rappresenta l’intensità normalizzata dell’attività corrispondente.

Per la valutazione, gli split cronologici sono costruiti ordinando i campioni per data di raccolta e suddividendoli in training (70 %), validation (15 %) e test (15 %). Questo approccio simula il drift temporale, poiché il modello deve generalizzare a comportamenti non visti durante l’addestramento. La Random Forest utilizza 500 alberi con criterio "gini" e profondità massima di 30, mentre il ResNeXt‑50 è pre‑addestrato su ImageNet e fine‑tuned per 30 epoche con learning rate 0,001 e data augmentation (random crop, horizontal flip). Grad‑CAM è calcolato sull’ultimo blocco convoluzionale, evidenziando le regioni della heatmap più influenti. L’ablation study mostra che ridurre il vocabolario da 10 000 a 2 000 termini diminuisce l’AUC di circa 0,02, evidenziando l’importanza di una rappresentazione ricca delle azioni malware.