LLM 기반 악성코드 분류를 위한 다중 관점 디컴파일

Multi-View Decompilation for LLM-Based Malware Classification

악성 코드 분석가들은 종종 소스 코드가 없을 때, 컴파일된 바이너리를 디컴파일하여 얻은 유사 C 코드를 검토합니다. 최근 연구에서는 대규모 언어 모델(LLM)이 디컴파일된 코드를 정상 또는 악성으로 분류하여 이 과정을 지원할 수 있다는 점을 시사하지만, 기존의 파이프라인은 일반적으로 단일 디컴파일러 뷰에 의존합니다. 우리는 이러한 가정이 취약하다고 주장합니다. 디컴파일러는 정보 손실이 발생하는 휴리스틱 도구이며, 서로 다른 디컴파일러는 동일한 바이너리의 서로 다른 특징을 드러낼 수 있습니다. 우리는 다양한 위협 행동을 보이는 정상 유틸리티와 악성 프로그램으로 구성된 벤치마크를 구축했습니다. 각 샘플은 Ghidra 및 RetDec를 사용하여 컴파일되고 디컴파일되며, 일치하는 유사 C 코드 뷰를 얻습니다. 주요 모델 패밀리의 다양한 LLM을 대상으로 실험한 결과, 두 개의 디컴파일러 뷰를 모두 제공하면 악성 클래스의 F1 점수가 향상되는 것을 확인했습니다. 특히 악성 샘플에 대한 재현율이 증가했습니다. 추가적인 분석 결과, Ghidra와 RetDec는 부분적으로 다른 오류를 발생시키는 것으로 나타났으며, 이는 디컴파일러 출력물이 상호 보완적인 증거를 제공한다는 주장을 뒷받침합니다. 우리의 연구 결과는 다중 디컴파일러 프롬프팅이 실질적인 환경에서 LLM 기반 악성코드 분석을 개선하는 간단하고 별도의 학습 과정 없이 적용할 수 있는 방법임을 시사합니다.

Malware analysts often inspect compiled binaries through decompiled pseudo-C, when source code is unavailable. Recent work suggests that large language models (LLMs) can assist this process by classifying decompiled code as benign or malicious, but existing pipelines typically rely on a single decompiler view. We argue that this assumption is fragile: decompilers are lossy heuristic tools, and different decompilers can expose different artefacts of the same binary. We curate a benchmark of benign utilities and malicious programs spanning a range of threat behaviors. Each sample is compiled and decompiled with both Ghidra and RetDec, yielding matched pseudo-C views. Across a range of LLMs from major model families, we find that providing both decompiler views improves malicious-class F1, mainly by increasing recall on malicious samples. Agreement analyses further show that Ghidra and RetDec make partially different errors, supporting the view that decompiler outputs provide complementary evidence. Our results suggest that multi-decompiler prompting is a simple, training-free way to improve LLM-based malware triage in practical settings.