[論文レビュー] Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent

Zhou Xuan, Xiangzhe Xu+7 more|arXiv (Cornell University)|Feb 6, 2026

Advanced Malware Detection Techniques被引用数 0

ひとこと要約

論文は、機能レベルおよびバイナリレベルでストリップされたマルウェアバイナリ内のATT&CK TTPを認識する初のLLMベースエージェント「TTPDetect」を紹介します。ハイブリッド検索、Context Explorer、TTP固有の推論ガイドラインを用い、ラベル付きの機能レベルTTPデータセットを提供し、ベースラインに対して高い精度/再現率の向上を報告します。

ABSTRACT

Understanding TTPs (Tactics, Techniques, and Procedures) in malware binaries is essential for security analysis and threat intelligence, yet remains challenging in practice. Real-world malware binaries are typically stripped of symbols, contain large numbers of functions, and distribute malicious behavior across multiple code regions, making TTP attribution difficult. Recent large language models (LLMs) offer strong code understanding capabilities, but applying them directly to this task faces challenges in identifying analysis entry points, reasoning under partial observability, and misalignment with TTP-specific decision logic. We present TTPDetect, the first LLM agent for recognizing TTPs in stripped malware binaries. TTPDetect combines dense retrieval with LLM-based neural retrieval to narrow the space of analysis entry points. TTPDetect further employs a function-level analyzing agent consisting of a Context Explorer that performs on-demand, incremental context retrieval and a TTP-Specific Reasoning Guideline that achieves inference-time alignment. We build a new dataset that labels decompiled functions with TTPs across diverse malware families and platforms. TTPDetect achieves 93.25% precision and 93.81% recall on function-level TTP recognition, outperforming baselines by 10.38% and 18.78%, respectively. When evaluated on real world malware samples, TTPDetect recognizes TTPs with a precision of 87.37%. For malware with expert-written reports, TTPDetect recovers 85.7% of the documented TTPs and further discovers, on average, 10.5 previously unreported TTPs per malware.

研究の動機と目的

• スレットインテリジェンスと防御計画のため、ストリップされたバイナリからマルウェアの挙動を直接ATT&CK TTPにマッピングする必要性を動機付ける。
• 密な検索とニューラル検索を組み合わせて、バイナリレベルで有望な function–TTP エントリを特定し、候補ペアを機能レベルで分析するLLMエージェントTTPDetectを提案する。
• 多様なマルウェアファミリとプラットフォームにまたがる機能レベルのTTPデータセットを紹介する。
• TTPDetectが機能レベルのTTP認識および実世界のマルウェアサンプルで高い精度と再現率を達成し、未報告のTTPを発見できることを示す。）
• method.0-6 常にリスト形式で以下を翻訳します:

提案手法

• 密な検索（埋め込みベース）とニューラル検索（LLMベース）を組み合わせ、分析エントリポイントを特定することで、候補の function–TTP ペアを絞り込むハイブリッド検索。
• コールグラフに沿って関連する機能コンテキストを逐次取得するContext Explorerを用い、部分的な可観測性を緩和する。
• MITRE ATT&CKに基づく構造化されたTTP中心の基準にLLMを制約して推論時の整合性を提供するTTP-特異的推論ガイドライン。
• ダウンロード後の機能に意味的に有意義な名前を付けるための機能リネーミングエージェント（LLMsを使用）
• 三段階パイプライン：分解された機能のリネーミング、機能–TTPペアの取得、分析エージェントによるTTP出現分析。
• AutoGenおよびClaude 3.7を用いた評価、分解コードにはIDA Pro、検索にはFAISSを使用。
• MITRE ATT&CK v16.1 および機能レベルのTTPラベルを含む専用データセットに基づく。

実験結果

リサーチクエスチョン

• RQ1 RQ1 分解された機能に対するTTPDetectのTTP認識精度はどの程度か。
• RQ2 RQ2 マルウェアバイナリに対するTTPDetectのTTP認識の有効性はどの程度か。
• RQ3 RQ3 TTPDetectはベースラインと比較してどうか。
• RQ4 RQ4 TTPDetectの異なるコンポーネントは全体性能にどう寄与するか。

主な発見

• TTPDetectは機能レベルのTTP認識で93.25%の精度と93.81%の再現率を達成し、ベースラインをそれぞれ10.38%、18.78%上回る。
• 実世界のマルウェアサンプルに対して、TTPDetectはTTPの認識において87.37%の精度を達成。
• 専門家が記述したレポートを含むマルウェアについて、TTPDetectは文書化されたTTPの85.7%を回復し、平均して各マルウェアにつき10.5件の未報告TTPを発見する。