Gray-Box Poisoning of Continuous Malware Ingestion Pipelines
Dieser Beitrag untersucht Graubox-Vergiftungsangriffe auf kontinuierliche Malware-Ingestionspipelines mittels funktionalitätserhaltender Binärmanipulationen zur Verschlechterung der Detektions-Recall-Rate und zeigt gleichzeitig, dass eine homogene Ensemble-Abwehr bis zu 95,6 % solcher adversarialer Proben effektiv filtern kann.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine massive, automatisierte Fabrik vor, die täglich Millionen von Paketen sortiert. Ihre Aufgabe besteht darin, gefährliche „schlechte Pakete" (Malware) zu erkennen und zu markieren, während sie die „guten Pakete" (sichere Dateien) passieren lässt. Um mit der schieren Menge neuer Bedrohungen Schritt zu halten, setzt diese Fabrik keine menschlichen Inspektoren ein, sondern einen superintelligenten Roboter (ein Machine-Learning-Modell), der durch das Studium von Beispielen für gute und schlechte Pakete lernt.
Dieser Artikel untersucht einen hinterhältigen Weg, diesen Roboter zu brechen, indem man ihn während seines Lernprozesses täuscht.
Das Szenario: Der „Gray-Box"-Trick
Die Forscher stellten sich ein Szenario vor, in dem ein böswilliger Akteur (der Angreifer) den Roboter der Fabrik sabotieren möchte. Sie besitzen nicht die geheimen Baupläne des Roboters (was einen „White-Box"-Angriff darstellen würde), aber sie haben eine sehr gute Vorstellung davon, wie der Roboter denkt, da sie einen ähnlichen Roboter besitzen. Dies wird als „Gray-Box"-Angriff bezeichnet.
Das Ziel des Angreifers ist es nicht nur, ein einziges schlechtes Paket am Roboter vorbeizuschleusen; sie wollen das Gehirn des Roboters vergiften, damit er in Zukunft vergisst, wie man schlechte Pakete erkennt.
Der Angriff: „Kosmetische Chirurgie" an schlechten Dateien
Um den Roboter zu täuschen, kann der Angreifer den Namen der schlechten Datei nicht einfach ändern oder das Virus löschen; das würde ihre Funktionsfähigkeit beeinträchtigen. Stattdessen führen sie eine „kosmetische Chirurgie" an der Datei durch.
Stellen Sie sich eine bösartige Datei wie eine verdächtig aussehende Person in einer Verkleidung vor. Der Angreifer nimmt winzige, unsichtbare Änderungen an der Verkleidung vor, damit die Sensoren des Roboters keinen Alarm auslösen, die Person aber im Inneren weiterhin gefährlich bleibt.
- Die Werkzeuge: Sie verwendeten ein spezielles Werkzeugset namens
secml_malware. - Die Techniken:
- IAT-Injektionen: Stellen Sie sich vor, Sie kleben ein paar harmlos aussehende Aufkleber auf einen verdächtigen Umschlag. Der Umschlag enthält immer noch eine Bombe, aber die Aufkleber lassen ihn so aussehen, als gehöre er zu einer bestimmten, vertrauenswürdigen Gruppe.
- Section-Injektionen: Stellen Sie sich vor, Sie kleben ein paar zusätzliche Seiten einer langweiligen, harmlos aussehenden Geschichte in ein gefährliches Buch. Das Buch enthält immer noch die gefährlichen Anweisungen, aber die zusätzlichen Seiten verwirren den Scanner.
Die Forscher stellten fest, dass das Hinzufügen nur weniger dieser „Aufkleber" (speziell 2 Import Address Table-Injektionen) ausreichte, damit die schlechten Dateien für den Roboter 30 % mehr wie gute Dateien aussahen.
Das Ergebnis: Der Roboter gerät in Verwirrung
Als der Roboter der Fabrik mit diesen „vergifteten" Beispielen (schlechte Dateien, die als gut gekennzeichnet waren) neu trainiert wurde, begann er, verwirrt zu werden.
- Der Schaden: Die Fähigkeit des Roboters, schlechte Dateien zu fangen, nahm erheblich ab. Er begann, gefährliche Pakete durch die Maschen schlüpfen zu lassen.
- Der Haken: Je drastischer die Änderungen waren (viele Aufkleber oder Seiten hinzufügen), desto leichter war es für den Roboter, die Datei bereits vor dem Training als „verdächtig" zu erkennen. Der Angreifer musste einen „Sweet Spot" finden: Genug ändern, um den Roboter zu täuschen, aber nicht so viel, dass die Datei offensichtlich seltsam aussieht.
Die Verteidigung: Das „Zweitmeinungs"-Team
Die Forscher zeigten nicht nur das Problem auf; sie testeten eine Lösung. Sie richteten ein homogenes Ensemble ein, das wie ein Team von drei verschiedenen Sicherheitswachen am Fabriktor funktioniert.
- Wache 1 überprüft das Gewicht und die Form der Datei (Verteilung).
- Wache 2 liest den Text im Inneren (Inhalt).
- Wache 3 betrachtet die Struktur und Bindung (Struktur).
Damit eine Datei den Trainingsraum betreten darf, müssen alle drei Wachen zustimmen, dass sie sicher aussieht.
Das Ergebnis:
- Die „vergifteten" Dateien, die versuchten, sich einzuschleichen, wurden von diesem Wachenteam in 95,6 % der Fälle abgefangen.
- Entscheidend ist, dass dieses Team die guten Pakete nicht versehentlich aussortierte; es ließ 84,5 % der legitimen Dateien problemlos passieren.
Das Fazit
Der Artikel kommt zu dem Schluss, dass böswillige Akteure zwar erfolgreich ein automatisiertes Lernsystem „vergiften" können, indem sie winzige, clevere Änderungen an bösartigen Dateien vornehmen, dies jedoch ein Balanceakt ist. Wenn sie die Dateien zu stark ändern, um sich zu verstecken, werden sie von Vorabkontrollen erwischt. Wenn sie sie zu wenig ändern, lernt der Roboter die falschen Lehren.
Die beste Verteidigung ist ein „Team von Experten" (das Ensemble), das die Dateien überprüft, bevor sie dem Hauptroboter erlaubt wird, sie zu unterrichten. Dies stellt sicher, dass der Lernprozess der Fabrik sauber und zuverlässig bleibt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.