Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats

Resumen Técnico: Robustez de Detectores de Malware Adaptativos a la Deriva

1. El Problema

La detección de malware basada en aprendizaje automático enfrenta dos desafíos fundamentales que, hasta ahora, se han estudiado por separado:

1. Deriva de Concepto (Concept Drift): Los autores de malware evolucionan constantemente sus técnicas, lo que hace que los modelos entrenados en datos históricos pierdan efectividad frente a nuevas amenazas. Para mitigar esto, se utilizan detectores adaptativos como AdvDA (Adversarial Domain Adaptation), que alinean periódicamente las distribuciones de características entre un dominio fuente (datos antiguos etiquetados) y un dominio objetivo (datos nuevos con pocas etiquetas).
2. Evasión Adversarial: Los atacantes diseñan muestras de malware específicas para engañar a los detectores.

La brecha de investigación: Aunque existen defensas contra ataques adversariales en modelos estáticos y métodos de adaptación de dominio para la deriva, ningún estudio ha explorado la robustez adversarial de los detectores que se adaptan a la deriva. Un problema crítico es que la robustez aprendida en el dominio fuente podría no transferirse al dominio objetivo debido al cambio de distribución, y las defensas existentes asumen distribuciones de datos fijas.

2. Metodología Propuesta

Los autores proponen AdvDA, un marco de robustificación universal diseñado para tomar un modelo preentrenado (ya adaptado al dominio) y afinarlo (fine-tuning) utilizando entradas transformadas adversarialmente.

• Marco Universal: El marco es agnóstico al tipo de ataque y a las transformaciones de entrada. Se basa en modificar el objetivo de entrenamiento de AdvDA para incluir datos transformados ($\tilde{X}_S$ y $\tilde{X}_T$) en lugar de los datos limpios.

• Modelos de Amenaza Evaluados:

  1. Blanco (White-Box): Ataque PGD (Projected Gradient Descent). El atacante tiene acceso total a los gradientes y parámetros del modelo. Se aplican perturbaciones acotadas en el espacio de características ($\ell_\infty$).
  2. Negro (Black-Box): Ataque MalGuise. Un ataque de nivel binario que modifica el ejecutable PE de Windows mediante mutaciones de flujo de control que preservan la funcionalidad, utilizando Búsqueda en Árbol Monte Carlo (MCTS). El atacante solo conoce el tipo de características y puede consultar el detector.

• Variantes de Defensa (5 configuraciones):

  • Basadas en DART (con PGD): Se evalúan tres variantes que difieren en cómo se perturba el dominio fuente:
    • DART (clean): Solo el dominio objetivo se perturba.
    • DART (adv): Se perturba el dominio fuente maximizando la pérdida de clasificación.
    • DART (kl): Se perturba el dominio fuente maximizando la divergencia KL entre predicciones limpias y perturbadas.
  • Basadas en MalGuise: Se evalúan dos variantes:
    • MalGuise (clean): Solo el dominio objetivo se entrena con binarios adversariales generados por MalGuise.
    • MalGuise (adv): Tanto el dominio fuente como el objetivo se entrenan con binarios adversariales.

3. Contribuciones Clave

1. Primera evaluación de robustez adversarial en un detector de malware basado en adaptación de dominio (AdvDA) bajo deriva de concepto.
2. Propuesta de un marco universal de robustificación que se adapta a diferentes tipos de ataques y transformaciones.
3. Descubrimientos fundamentales sobre la transferencia de robustez:
   • La robustez no se transfiere entre modelos de amenaza (lo que defiende contra PGD no defiende contra MalGuise y viceversa).
   • El entrenamiento adversarial en el dominio fuente es esencial para defensas basadas en PGD, pero contraproducente para defensas basadas en MalGuise.

4. Resultados Experimentales

Los experimentos se realizaron sobre el conjunto de datos MB-24+ (malware de Windows durante 9 meses), con 5 ventanas de adaptación mensual y 3 puntos de operación de tasa de falsos positivos (FPR).

• Vulnerabilidad del Estado Base: El detector AdvDA sin defensa es completamente vulnerable a ataques PGD (100% de éxito de ataque) y moderadamente vulnerable a MalGuise (13% de éxito).
• Desempeño contra PGD (Blanco):
  • Las defensas DART reducen drásticamente el éxito del ataque (hasta un 3.2%).
  • Hallazgo crítico: El entrenamiento adversarial en el dominio fuente es crítico. Las variantes que solo perturban el objetivo (DART clean) tienen un rendimiento muy inferior (28.6% de éxito de ataque) comparado con las que perturban la fuente (3.2%).
• Desempeño contra MalGuise (Negro):
  • Las defensas basadas en MalGuise reducen el éxito del ataque al 5.1% (MalGuise clean) y 3.2% (MalGuise adv).
  • Hallazgo crítico: Aquí, el entrenamiento en la fuente es contraproducente. La variante MalGuise (clean) logra una robustez casi idéntica a la variante con fuente perturbada, pero con una tasa de verdaderos positivos (TPR) mucho mayor y un costo computacional insignificante. Perturbar la fuente degrada la precisión en datos limpios en un 32-44%.
• Falta de Transferencia Cruzada:
  • Las defensas DART (robustas contra PGD) son completamente vulnerables a MalGuise (100% de éxito).
  • Las defensas MalGuise (robustas contra MalGuise) son completamente vulnerables a PGD (100% de éxito).
  • Esto demuestra que la robustez es una propiedad del par "modelo-amenaza", no del modelo en sí.

5. Significado y Recomendaciones

El estudio redefine cómo deben defenderse los sistemas de detección de malware adaptativos:

1. No existe una solución única: No se puede robustificar un detector contra ambos tipos de amenazas simultáneamente con una sola estrategia de entrenamiento.
2. Estrategia de Despliegue:
   • Contra ataques PGD (Blanco): Es obligatorio incluir el entrenamiento adversarial en el dominio fuente (usando DART adv o kl).
   • Contra ataques MalGuise (Negro): Es preferible entrenar solo en el dominio objetivo (MalGuise clean). Añadir datos adversariales de la fuente aumenta drásticamente el costo computacional (76.8x más lento) y daña la precisión sin mejorar significativamente la robustez.
3. Arquitectura Futura: Los autores sugieren una arquitectura de "multi-visión" donde se combinan detectores especializados (uno entrenado contra PGD y otro contra MalGuise) para forzar al atacante a evadir múltiples espacios de perturbación simultáneamente.

Conclusión Final: La robustez en entornos de deriva de concepto es altamente local y dependiente del tipo de ataque. Las defensas diseñadas para dominios visuales (como PGD) no se transfieren automáticamente a la detección de malware binario, y la estrategia de entrenamiento debe adaptarse específicamente a la amenaza esperada para equilibrar la seguridad, la precisión y el costo.