🤖 machine learning

Building an Adversarial Malware Dataset by Family and Type: Generation, Evasion, and Poisoning Evaluation

Este artículo presenta un conjunto de datos de más de 77.000 muestras de malware PE adversarial, de acceso público y derivado de la colección RawMal-TF, que demuestra sus altas tasas de evasión frente al clasificador EMBER y su impacto significativo en el envenenamiento de sistemas de detección basados en aprendizaje automático.

Autores originales: David Košťál, Martin Jureček

Publicado 2026-05-26

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: David Košťál, Martin Jureček

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un juego de alto riesgo de "Encuentra al Falso" jugado entre dos equipos: los Defensores (expertos en ciberseguridad) y los Atacantes (hackers).

Durante años, los Defensores han utilizado un árbitro muy inteligente y automatizado llamado EMBER. Este árbitro examina programas informáticos (específicamente archivos de Windows) y decide: "Esto parece un virus" o "Esto parece seguro". Los Defensores entrenan a este árbitro mostrándole millones de ejemplos de archivos malos y buenos.

Los Atacantes, sin embargo, se están volviendo astutos. No solo están escribiendo nuevos virus; están aprendiendo a disfrazar sus virus para que el árbitro piense que son inofensivos. Esto se llama un "ataque adversario".

Este artículo trata sobre un equipo de investigadores que decidió construir un enorme gimnasio de entrenamiento para los Defensores. Quisieron crear una gran colección de virus "disfrazados" para ver qué tan bien el árbitro podía detectarlos y para probar qué sucede si el árbitro es engañado durante su entrenamiento.

Aquí está el desglose de su trabajo, utilizando analogías simples:

1. La Materia Prima: El "Zoológico de Monstruos"

Los investigadores comenzaron con una colección pública de malware del mundo real llamada RawMal-TF. Piensa en esto como un zoológico que contiene miles de monstruos reales y peligrosos (virus).

Grupo A (El Zoológico Familiar): Clasificaron estos monstruos por sus "nombres de familia" (por ejemplo, todos los hermanos "Troyanos", todos los primos "Spyware").
Grupo B (El Zoológico de Tipos): Los clasificaron por sus "descripciones de trabajo" (por ejemplo, "Este roba contraseñas", "Este borra archivos").

2. Los Artistas del Disfraz: Los "Generadores"

Para crear el conjunto de datos adversario, los investigadores no solo copiaron los monstruos; contrataron a un equipo de Artistas del Disfraz (herramientas de software llamadas generadores).

El Objetivo: Tomar un monstruo real y ajustarlo lo suficiente para que el árbitro (EMBER) piense que es un cachorro inofensivo, pero el monstruo aún realice su trabajo malvado.
Las Herramientas: Utilizaron cinco artistas diferentes (como MalwareTotal, MAB-Malware y GAMMA Sections). Algunos artistas eran como pintores (añadiendo pintura inofensiva al archivo), mientras que otros eran como sastres (cosiendo tela extra para ocultar la forma).
El Resultado: Crearon dos nuevas colecciones masivas:
- 44,347 monstruos disfrazados etiquetados por familia.
- 33,596 monstruos disfrazados etiquetados por tipo.

El Truco de Magia: Estos artistas eran increíblemente buenos. Contra el árbitro estándar (EMBER), el 98% de los monstruos etiquetados por familia y el 92% de los etiquetados por tipo engañaron con éxito al árbitro para que pensara que eran seguros.

3. El Experimento de Entrenamiento "Envenenado"

Esta es la parte más crítica del artículo. Los investigadores preguntaron: "¿Qué sucede si engañamos al árbitro mientras está aprendiendo?"

Imagina que el árbitro es un estudiante que estudia para un examen. Los investigadores tomaron su nueva colección de monstruos disfrazados y la mezclaron en la guía de estudio del estudiante.

La Trampa: Le dijeron al estudiante: "Estos monstruos disfrazados son en realidad seguros". (En realidad, siguen siendo peligrosos).
La Prueba: Solo envenenaron el 0.5% de la guía de estudio (una cantidad diminuta).

El Resultado Sorprendente:

Antes del envenenamiento, el estudiante podía atrapar aproximadamente el 74% de los monstruos disfrazados.
Después de ser engañado con ese pequeño 0.5% de mentiras, la capacidad del estudiante para atrapar a los monstruos se desplomó hasta un 7%.
La Lección: Una pequeña cantidad de información "envenenada" (datos mal etiquetados) puede romper completamente la capacidad del estudiante para hacer su trabajo, incluso si aún parece estar funcionando bien en pruebas regulares.

4. El Rayo de Sol: "Entrenamiento Adversario"

Los investigadores también probaron el escenario opuesto. ¿Qué pasaría si mezclaran los monstruos disfrazados en la guía de estudio pero los etiquetaran correctamente como "PELIGROSOS"?

El Resultado: El estudiante en realidad mejoró. Al estudiar los disfraces, el estudiante aprendió a detectarlos. Esto se llama "entrenamiento adversario".
La Conclusión: Si le muestras al defensor los trucos que está usando el atacante (y los etiquetas correctamente), el defensor se vuelve mucho más fuerte.

5. El Regalo Final: Una Biblioteca Pública

Los investigadores no solo guardaron estos resultados para sí mismos. Empaquetaron todo: los monstruos originales, las versiones disfrazadas y todas las notas sobre cómo fueron disfrazados, en una biblioteca pública (un conjunto de datos).

¿Por qué? Para que otros investigadores puedan usar este "gimnasio" para construir mejores árbitros que no puedan ser engañados por estos trucos.
El Problema: Admitieron que, aunque sus trucos funcionaron muy bien contra el árbitro estándar (EMBER), fueron menos exitosos contra los "super-árbitros" (software antivirus comercial utilizado por empresas reales). Esto significa que los atacantes aún tienen mucho trabajo por hacer para engañar a las mejores defensas.

Resumen

En resumen, este artículo es un enorme kit de disfraces para malware. Los autores mostraron que:

Es muy fácil engañar a los detectores actuales de malware con IA con las herramientas adecuadas.
Si le mientes a la IA durante su entrenamiento (incluso un poco), puedes romperla completamente.
Si le dices la verdad y le muestras a la IA los disfraces, puedes hacerla mucho más fuerte.

Lanzaron este kit al mundo para que los defensores puedan practicar la detección de estos disfraces antes de que los malos los usen de verdad.

Resumen Técnico: Construcción de un Conjunto de Datos de Malware Adversarial por Familia y Tipo

Enunciado del Problema
El campo de la detección de malware depende cada vez más de clasificadores de aprendizaje automático (ML), sin embargo, estos sistemas son vulnerables a ataques adversarios donde actores maliciosos modifican ejecutables para evadir la detección mientras preservan la funcionalidad. Existe una brecha significativa en la comunidad de investigación: hay una falta de conjuntos de datos a gran escala, disponibles públicamente, que contengan binarios de malware del mundo real que hayan sido transformados sistemáticamente en muestras adversarias. Los generadores adversarios existentes a menudo requieren configuraciones complejas, recursos computacionales significativos o no logran escalar a tamaños de conjuntos de datos significativos. Además, la susceptibilidad de las pipelines de detección basadas en ML a ataques de envenenamiento de datos, donde los datos de entrenamiento se contaminan con muestras mal etiquetadas, sigue siendo poco explorada a gran escala.

Metodología
Los autores construyeron un conjunto de datos adversarial de malware exhaustivo derivado de la colección pública RawMal-TF, que contiene archivos Ejecutables Portables (PE) del mundo real etiquetados ya sea por familia (17 familias distintas) o por tipo (14 tipos, ej. troyano, spyware).

Selección y Despliegue del Generador:
El estudio utilizó un conjunto de cinco generadores automatizados de malware adversario: Pesidious, MAB-Malware, AMG, GAMMA Sections (de SecML Malware) y MalwareTotal.
- Clasificadores Objetivo: La mayoría de los generadores apuntaron al clasificador EMBER (2018). Para aumentar la diversidad y el desafío, MalwareTotal también se adaptó para apuntar a EMBER2024, un conjunto de características y modelo más nuevo y robusto.
- Infraestructura: Los autores desplegaron estos generadores en un entorno contenerizado (Docker) en un servidor NVIDIA DGX Station A100. Desarrollaron un script de "arnés" personalizado para gestionar la ejecución paralela, monitorear bloqueos de procesos y manejar restricciones de recursos.
- Modificaciones: Varios generadores requirieron ajustes de código para funcionar en el entorno Linux, incluyendo reemplazar empaquetadores específicos de Windows por el multiplataforma PEzor y reentrenar agentes para soportar nuevos clasificadores objetivo.
Selección y Filtrado de Muestras:
- La pipeline procesó muestras fuente para generar variantes adversarias.
- Se empleó un algoritmo de selección (Algoritmo 1) para elegir la única mejor variante adversaria por archivo fuente. El criterio principal fue la puntuación EMBER (menor es mejor para la evasión), con una restricción secundaria sobre el aumento del tamaño del archivo (prefiriendo una relación $\le$ 1.5x, con un límite máximo estricto de 25 MB).
- El conjunto de datos incluye muestras independientemente de su estado de clasificación original (malicioso o benigno) para asegurar diversidad, siempre que hayan sido modificadas con éxito.
- Se detectaron y filtraron casos patológicos (ej. salidas sin modificar, muestras colapsadas donde diferentes entradas producen salidas idénticas).
Métricas de Evaluación:
- Rendimiento de Evasión: Medido por la reducción en las puntuaciones EMBER y el porcentaje de muestras clasificadas como benignas.
- Evasión de Antivirus: Evaluado contra VirusTotal (VT), analizando específicamente las tasas de detección a través de todos los motores disponibles y una lista curada de "Top 10" de antivirus comerciales.
- Sobrecarga: Medida por el aumento en el tamaño del archivo.
Experimentos de Envenenamiento de Datos:
Los autores realizaron experimentos de entrenamiento para evaluar el impacto del envenenamiento de datos. Inyectaron muestras adversarias en el conjunto de entrenamiento de un clasificador LightGBM (entrenado con características de RawMal-TF) bajo condiciones variables:
- Fracción Envenenada: El porcentaje de los datos de entrenamiento reemplazado por muestras adversarias (rango de 0.1% a 20%).
- Tasa de Transferibilidad ( $\tau$ ): La proporción de muestras maliciosas inyectadas que fueron mal etiquetadas como benignas. $\tau=0$ representa entrenamiento adversario (etiquetas correctas), mientras que $\tau=1$ representa el envenenamiento máximo (etiquetas incorrectas).

Contribuciones Clave

Conjunto de Datos AdvMal-TF: La publicación de dos conjuntos de datos a gran escala, disponibles públicamente:
- Etiquetado por Familia: 44,347 muestras adversarias.
- Etiquetado por Tipo: 33,596 muestras adversarias.
- Ambos conjuntos de datos incluyen metadatos ricos, incluyendo puntuaciones EMBER, puntuaciones EMBER2024 y clasificaciones de VirusTotal.
Pipeline de Generación Escalable: Un marco robusto y contenerizado para ejecutar múltiples generadores adversarios en paralelo, abordando problemas de fiabilidad comunes en herramientas de malware de nivel de investigación.
Análisis de Envenenamiento: Evidencia empírica que cuantifica la vulnerabilidad de los clasificadores de malware a ataques de envenenamiento de datos a pequeña escala y la eficacia del entrenamiento adversario con etiquetas correctas.

Resultados

Tasas de Evasión:
- Contra el clasificador EMBER, el conjunto de datos etiquetado por familia logró una tasa de evasión del 98.35% para muestras originalmente detectadas, y el conjunto de datos etiquetado por tipo logró 92.20%.
- GAMMA Sections y Pesidious fueron particularmente efectivos contra antivirus comerciales en VirusTotal, aunque las tasas de evasión variaron significativamente según el generador y el objetivo.
- Los generadores que apuntaron a EMBER2024 lograron tasas de éxito más bajas, destacando la mayor robustez del modelo más nuevo.
Sobrecarga de Tamaño de Archivo: GAMMA Sections produjo los mayores aumentos en el tamaño del archivo (a menudo >1000%), mientras que MalwareTotal ofreció el mejor equilibrio entre reducción de puntuación y aumento de tamaño.
Impacto del Envenenamiento:
- Alta Vulnerabilidad: Inyectar muestras completamente mal etiquetadas ( $\tau=1.0$ ) que representaban solo el 0.5% de los datos de entrenamiento aumentó la tasa de evasión del clasificador reentrenado desde una línea base del 26.1% al 92.8% en el conjunto de datos etiquetado por familia.
- Entrenamiento Adversario: Por el contrario, inyectar muestras adversarias correctamente etiquetadas ( $\tau=0$ ) redujo consistentemente las tasas de evasión por debajo de la línea base, actuando como un entrenamiento adversario efectivo.
- Estabilidad de Métricas: Las puntuaciones F1 permanecieron engañosamente estables incluso cuando las tasas de evasión colapsaron, lo que indica que las métricas estándar pueden fallar al detectar la degradación inducida por envenenamiento en la robustez adversaria.
Características del Conjunto de Datos: El conjunto de datos etiquetado por familia mostró signos de sobreajuste (alta puntuación F1 de línea base pero pobre generalización entre conjuntos de datos), mientras que el conjunto de datos etiquetado por tipo demostró mayor diversidad y un rendimiento de línea base más realista.

Significado
El artículo afirma que el conjunto de datos AdvMal-TF llena una brecha crítica de recursos al proporcionar binarios adversarios del mundo real, funcionalmente preservados, a gran escala. Los autores afirman que este recurso facilitará futuras investigaciones sobre:

Malware Adversario: Comprender las capacidades y limitaciones de las técnicas actuales de evasión.
Envenenamiento de Datos: Evaluar la robustez de las pipelines de detección contra la contaminación de datos de entrenamiento.
Robustez Defensiva: Permitir el desarrollo de clasificadores más resilientes mediante entrenamiento adversario con muestras correctamente etiquetadas.

El trabajo destaca que, aunque los generadores actuales luchan contra clasificadores avanzados como EMBER2024, la disponibilidad de conjuntos de datos diversos y a gran escala es esencial para avanzar en las estrategias defensivas. Los autores concluyen que la calidad de los datos de entrenamiento (específicamente la corrección de las etiquetas) es tan crítica como el volumen de datos para determinar la robustez del clasificador.