Resumen Técnico: Envenenamiento de Caja Gris de Pipelines de Ingestión Continua de Malware

Declaración del Problema

Los sistemas modernos de detección de malware dependen cada vez más de pipelines de Operaciones de Aprendizaje Automático (MLOps) que automatizan la ingestión continua, la extracción de características y el reentrenamiento de modelos para contrarrestar el alto volumen de amenazas nuevas (estimado en ~560.000 muestras diarias). Mientras que los ataques de evasión se dirigen a los modelos en el momento de la inferencia, este artículo investiga una amenaza más insidiosa: el envenenamiento de datos dentro del pipeline de ingestión.

En un escenario de envenenamiento, un adversario inyecta muestras maliciosas en la cadena de suministro de datos de entrenamiento, "corrompiendo" efectivamente el conjunto de datos para inducir un comportamiento erróneo del modelo en versiones futuras. A diferencia de los ataques en el espacio de características que manipulan vectores abstractos (los cuales a menudo carecen de contrapartes ejecutables válidas debido al problema de mapeo inverso de características), este trabajo se centra en el envenenamiento en el espacio del problema. El desafío radica en generar binarios PE (Ejecutable Portátil) adversarios que preserven la funcionalidad maliciosa mientras manipulan sutilmente las características para eludir el escrutinio inicial y degradar el rendimiento del modelo de detección.

Metodología

Modelo de Amenaza

Los autores formalizan un modelo de amenaza de caja gris donde:

• El Defensor mantiene un conjunto de entrenamiento privado ($D_T$), una fuente de ingestión ($D_I$) y un modelo de detección ($M_D$).
• El Adversario tiene acceso a datos públicos ($D_{pub}$) y un modelo proxy ($M_A$) que aproxima el mapeo de extracción de características del defensor ($\phi$).
• El adversario genera muestras envenenadas ($D_P$) para evadir el modelo proxy e inyectarlas en el pipeline de ingestión, con el objetivo de etiquetar incorrectamente muestras maliciosas como benignas.

Construcción del Conjunto de Datos

El estudio utiliza un conjunto de datos híbrido construido a partir de:

1. Binarios PE Crudos: Obtenidos de VirusShare, MalShare y TheZoo, combinados con archivos benignos del sistema operativo.
2. EMBER2024: Un conjunto de datos basado en características a gran escala.
   Los autores eliminaron duplicados de los datos utilizando la Hash Sensible a la Localidad de Trend Micro (TLSH) y extrajeron características de EMBER v3, neutralizando artefactos como las marcas de tiempo. Los datos se dividieron en cuatro conjuntos: Entrenamiento del Defensor (40%), Flujo de Entrada (20%), Oracle (20%) y Retención (20%).

Generación Adversaria

Utilizando el framework secml_malware, los autores generaron binarios adversarios en el espacio del problema utilizando dos estrategias principales de manipulación:

1. Inyecciones en la Tabla de Direcciones de Importación (IAT): Inyección de entradas de binarios benignos en la IAT de muestras maliciosas.
2. Inyecciones de Secciones: Inyección de secciones de código benigno en la estructura PE.

Estas manipulaciones se realizaron mediante un enfoque basado en heurísticas (estrategia GAMMA) a través de algoritmos genéticos, ya que los ataques de caja blanca basados en gradientes arrojaron tasas de evasión negativas debido a desconexiones en el espacio de características.

Mecanismo de Defensa

La defensa propuesta es un ensamble homogéneo que actúa como un filtro previo a la ingestión (Oracle). Este middleware consiste en tres modelos LightGBM entrenados en:

1. Distribución de bytes.
2. Contenido (cadenas/librerías).
3. Características estructurales.
   Una muestra solo se ingiere si los tres modelos alcanzan un consenso.

Resultados Clave

Eficacia del Ataque

El estudio demuestra que perturbaciones sutiles que preservan la funcionalidad pueden degradar significativamente el rendimiento del modelo cuando se etiquetan incorrectamente como benignas:

• Tasas de Evasión: Los ataques de alta intensidad (8 inyecciones IAT y 8 inyecciones de sección) lograron una tasa de evasión del 50,8% contra el modelo proxy del atacante.
• Impacto del Envenenamiento: Cuando se inyectaron en el conjunto de entrenamiento con etiquetas incorrectas (maliciosas etiquetadas como benignas), las manipulaciones sutiles (2 inyecciones IAT) causaron la degradación más significativa en la recuperación de detección (cayendo de ~0,947 a 0,860), lo que sugiere que las perturbaciones mínimas están más cerca del límite de decisión.
• Compensación: Si bien los ataques de alta intensidad son efectivos para la evasión, aumentan significativamente el tamaño del archivo y son más fácilmente detectados por oráculos estructurales.

Rendimiento de la Defensa

El filtro de ensamble homogéneo demostró ser altamente efectivo:

• Eficiencia de Filtrado: El ensamble combinado filtró con éxito el 95,6% de los intentos de envenenamiento de alta intensidad (8 IAT/8 Sección).
• Retención: La defensa mantuvo una tasa de retención del 84,5% para datos legítimos (limpios).
• Especificidad de Detección: El Modelo Estructural fue el componente individual más efectivo, filtrando el 94,2% de las muestras de alta intensidad, mientras que los modelos Distribucional y de Contenido fueron menos efectivos (25,0% y 18,4%, respectivamente).

Significado y Afirmaciones

El artículo afirma ilustrar el desafío inherente de desarrollar perturbaciones adversarias de baja visibilidad que mantengan una alta eficacia de envenenamiento dentro de sistemas de aprendizaje continuo. Los hallazgos clave incluyen:

1. Sigilo vs. Eficacia: Existe una compensación crítica entre el sigilo adversario y la eficacia del envenenamiento. Las perturbaciones sutiles basadas en IAT son compactas y efectivas para degradar la recuperación, pero son más difíciles de detectar que las modificaciones de alta intensidad.
2. Vulnerabilidad del Pipeline: Los pipelines de ingestión automatizada son vulnerables a la corrupción de la cadena de suministro de datos, lo que requiere una validación robusta previa a la ingestión.
3. Viabilidad de la Defensa: Un enfoque de validación multifacético que utiliza un ensamble homogéneo de oráculos puede identificar y filtrar con éxito la gran mayoría de los intentos de envenenamiento sin obstaculizar significativamente la ingestión de datos legítimos.

Los autores señalan que esta es una evaluación preliminar que utiliza un subconjunto reducido (12.500 muestras) y un evento de envenenamiento de un solo paso. Se requiere trabajo futuro para escalar al conjunto de datos híbrido completo, investigar la transferibilidad en configuraciones de caja negra completas y analizar el envenenamiento persistente a lo largo de múltiples intervalos continuos.