💻 computer science

Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats

Questo studio propone un framework universale per rendere robusti i rilevatori di malware adattivi al drift (AdvDA) contro attacchi in scenari white-box e black-box, dimostrando che la strategia di difesa ottimale varia in base alla tipologia di attacco e fornendo raccomandazioni operative per bilanciare sicurezza, accuratezza e costi computazionali.

Autori originali: Adrian Shuai Li, Md Ajwad Akil, Elisa Bertino

Pubblicato 2026-04-09

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Adrian Shuai Li, Md Ajwad Akil, Elisa Bertino

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un guardia di sicurezza molto intelligente (il rilevatore di malware) che lavora in una grande città (il tuo computer). Il suo compito è riconoscere i criminali (i virus) e fermarli.

Però, c'è un problema: i criminali sono furbi e cambiano continuamente il loro aspetto. Oggi sembrano come un postino, domani come un pacco, dopodomani come un vigile urbano. Questo fenomeno si chiama "deriva concettuale" (concept drift): il mondo cambia, e la guardia che ha imparato a riconoscere i criminali di ieri potrebbe non riconoscerli più oggi.

Per risolvere questo, gli scienziati hanno creato un sistema chiamato AdvDA. È come se la guardia avesse un tutor che le mostra periodicamente le nuove foto dei criminali, aggiornando la sua memoria per non farsi ingannare dai nuovi travestimenti.

Il Nuovo Problema: I Falsi Allarmi e gli Inganni

La ricerca di questo paper si chiede: "Ma cosa succede se i criminali non si limitano a cambiare aspetto, ma imparano a ingannare attivamente la guardia?"

Gli attaccanti possono usare due tipi di trucchi molto diversi:

Il Trucco del "Pixel" (Attacco White-Box / PGD): Immagina un criminale che, sapendo esattamente come funziona la mente della guardia, modifica leggermente i suoi vestiti in modo che, per la guardia, sembri un innocuo piccione. È un attacco matematico preciso, come cambiare un singolo pixel in una foto per farla sembrare un gatto invece che un cane.
Il Trucco del "Travestimento Fisico" (Attacco Black-Box / MalGuise): Qui il criminale non sa come pensa la guardia. Sa solo che deve cambiare la sua "struttura" senza farsi notare. È come se un ladro entrasse in casa, spostasse i mobili, cambiasse il colore delle pareti e mettesse dei quadri nuovi, ma senza toccare i meccanismi della serratura. La casa funziona uguale, ma sembra diversa.

Cosa hanno scoperto gli autori?

Gli scienziati hanno provato a rendere questa guardia "a prova di inganno" (robusta) contro entrambi i tipi di truffe. Ecco le scoperte principali, spiegate con metafore:

1. Non esiste un "Super Scudo" universale

Hanno scoperto che non puoi addestrare la guardia a difendersi da tutto contemporaneamente.

Se addestri la guardia a riconoscere i trucchi dei "pixel" (PGD), diventa bravissima a vedere quelle modifiche, ma rimane completamente cieca ai trucchi di "struttura" (MalGuise).
Se la addestri a vedere i trucchi di "struttura", non capisce nulla dei trucchi dei "pixel".
È come addestrare un portiere a parare solo i calci di rigore: diventerà imbattibile sui rigori, ma se qualcuno gli lancia una palla a mano, non saprà come muoversi.

2. Il paradosso dell'allenamento "vecchio" vs "nuovo"

Per rendere la guardia robusta, si può usare un metodo che le mostra esempi di criminali "truccati" sia del passato (Sorgente) che del presente (Target).

Contro i trucchi dei pixel (PGD): È fondamentale mostrare alla guardia esempi truccati sia del passato che del presente. Se le mostri solo i nuovi, si confonde. Deve vedere la varietà storica per capire il pattern matematico dell'attacco.
Contro i trucchi di struttura (MalGuise): Qui vale il contrario! Mostrare esempi truccati del passato è controproducente. Anzi, basta addestrarla solo sui nuovi criminali. Se provi a mostrarle anche quelli vecchi truccati, la confondi e lei smette di riconoscere i criminali normali (i falsi positivi aumentano e la guardia diventa lenta e imprecisa).

3. La sorpresa: La guardia era già forte contro i "travestimenti"

Una scoperta interessante è che la guardia, anche senza allenamento speciale, era già piuttosto brava a resistere ai trucchi di "struttura" (MalGuise). Perché? Perché il sistema di visione della guardia (basato su reti neurali) è abituato a guardare il "quadro d'insieme". I trucchi di struttura sono come spostare un mobile: la guardia vede che la casa è comunque una casa, e non si lascia ingannare. I trucchi dei pixel, invece, sono come cambiare il colore di un occhio: per un sistema visivo, è un cambiamento enorme e facile da sfruttare.

Le Conclusioni Pratiche (Cosa fare?)

Il paper ci dice che non c'è una soluzione magica. Se sei un responsabile della sicurezza, devi scegliere la tua difesa in base al nemico che temi:

Se temi hacker che conoscono il tuo sistema (White-Box): Devi usare un addestramento specifico che includa sia dati vecchi che nuovi, modificati matematicamente.
Se temi hacker che provano a modificare i file senza sapere come funziona il tuo sistema (Black-Box): Non sprecare tempo e risorse addestrando su dati vecchi modificati. Addestra solo sui nuovi dati modificati. È più veloce, costa meno e funziona meglio.

In sintesi: La sicurezza informatica non è un muro di cemento, ma un abito su misura. Non puoi indossare lo stesso scudo per proteggersi da un pugno e da una freccia. Devi sapere chi è il tuo nemico e adattare la tua difesa di conseguenza, specialmente quando il nemico cambia pelle ogni mese.

1. Il Problema

L'articolo affronta la sfida combinata di due minacce critiche per i rilevatori di malware basati sull'apprendimento automatico (ML):

Deriva del concetto (Concept Drift): I malware evolvono costantemente, rendendo i modelli addestrati su dati storici meno efficaci nel tempo.
Evasione Adversariale: Gli attaccanti modificano i campioni di malware per ingannare i rilevatori.

Esiste un vuoto nella ricerca: mentre la deriva del concetto e gli attacchi adversariali sono stati studiati separatamente, la loro interazione nei rilevatori adattivi alla deriva (come AdvDA) non è stata esplorata. I metodi di difesa esistenti per l'adattamento di dominio (Domain Adaptation - DA) assumono distribuzioni di dati fisse e non garantiscono che la robustezza appresa sul dominio sorgente (dati vecchi) si trasferisca al dominio target (nuovi dati), specialmente sotto attacco.

2. Metodologia

Il Modello di Base: AdvDA

Gli autori utilizzano AdvDA, un rilevatore che utilizza l'adattamento di dominio adversarial per allineare le distribuzioni delle caratteristiche tra un dominio sorgente (etichettato) e un dominio target (con poche etichette). Tuttavia, AdvDA di base è vulnerabile agli attacchi.

Framework di Robustificazione Universale

Gli autori propongono un framework universale per rendere robusto AdvDA. L'idea chiave è fine-tunare un modello AdvDA pre-addestrato utilizzando input trasformati in modo adversarial. Il framework è agnostico rispetto al tipo di attacco e alle trasformazioni applicate.
L'obiettivo di ottimizzazione modificato è:
$\min_{g,f} L(f \circ g(\tilde{X}_S); Y_S) + \lambda_1 L(f \circ g(\tilde{X}_T); Y_T) + \lambda_2 \Omega(\tilde{X}_S, \tilde{X}_T, g)$
Dove $\tilde{X}_S$ e $\tilde{X}_T$ sono le versioni trasformate (pulite o adversariali) dei dati sorgente e target.

Varianti di Difesa e Modelli di Minaccia

Lo studio valuta cinque varianti di difesa sotto due modelli di minaccia distinti:

Attacco White-Box (PGD):
- Attacco: Projected Gradient Descent (PGD) nello spazio delle caratteristiche (perturbazioni $\ell_\infty$ ).
- Difese (basate su DART): Tre varianti che differiscono per come viene trasformato il dominio sorgente ( $\tilde{X}_S$ $\tilde{X}_{S}$ ):
  - DART (clean): Sorgente pulita, solo target perturbato.
  - DART (adv): Sorgente perturbata massimizzando la perdita di classificazione.
  - DART (kl): Sorgente perturbata massimizzando la divergenza KL.
- Obiettivo: Verificare se l'addestramento adversarial sul sorgente trasferisce robustezza al target.
Attacco Black-Box (MalGuise):
- Attacco: MalGuise, un attacco a livello di binario che modifica il flusso di controllo (CFG) preservando la funzionalità, utilizzando la ricerca ad albero Monte Carlo (MCTS).
- Difese: Due varianti:
  - MalGuise (clean): Sorgente pulita, target perturbato.
  - MalGuise (adv): Sorgente e target perturbati con binari generati da MalGuise.

Setup Sperimentale

Dataset: MB-24+ (9 mesi di malware Windows, Marzo-Dicembre 2024).
Scenario: Finestre di adattamento mensile (5 finestre di valutazione).
Metriche: Tasso di successo dell'attacco (ASR), True Positive Rate (TPR) su dati puliti, e costo computazionale.

3. Risultati Chiave

Vulnerabilità del Modello di Base

Il rilevatore AdvDA non difeso è completamente vulnerabile agli attacchi PGD (100% di successo dell'attacco) e moderatamente vulnerabile a MalGuise (13% di successo).

Efficacia delle Difese PGD (White-Box)

L'addestramento adversarial sul dominio sorgente è essenziale per difendersi da PGD.
Le varianti DART (adv) e DART (kl) riducono l'ASR da ~28.6% a 3.2% (per $\epsilon=2/255$ ).
Le varianti senza perturbazione sorgente (DART clean) falliscono o offrono protezione minima.
La robustezza è locale: i modelli addestrati su perturbazioni deboli falliscono contro attacchi più forti.

Efficacia delle Difese MalGuise (Black-Box)

Risultato sorprendente: Il modello AdvDA non difeso mostra una robustezza intrinseca a MalGuise (ASR ~13%) grazie alla rappresentazione delle caratteristiche che attenua le modifiche locali.
Addestramento Sorgente Controproducente: Aggiungere l'addestramento adversarial sul sorgente (MalGuise adv) riduce marginalmente l'ASR (da 5.1% a 3.2%), ma causa un crollo drastico del TPR su dati puliti (32-44% di perdita) e un aumento enorme del costo computazionale (76.8x).
La strategia migliore è l'addestramento solo sul target (MalGuise clean), che mantiene un TPR elevato con un costo ragionevole.

Trasferibilità della Robustezza (Cross-Attack)

Nessuna trasferibilità: La robustezza non si trasferisce tra i modelli di minaccia.
- Le difese basate su DART (ottimizzate per PGD) non offrono alcuna protezione contro MalGuise (ASR rimane alto).
- Le difese basate su MalGuise sono completamente bypassate da PGD (100% ASR).
Questo indica che la robustezza è una proprietà della coppia "Modello-Minaccia", non del modello in sé.

Costi e Compromessi

DART: Aumenta il tempo di training di 3-4x.
MalGuise (adv): Aumenta il tempo di training di 76.8x a causa della generazione pre-calcolata dei binari adversariali, rendendolo impraticabile per scenari reali se non strettamente necessario.

4. Contributi Principali

Primo studio sulla robustezza adversariale di rilevatori di malware basati su Domain Adaptation (DA) in presenza di deriva del concetto.
Framework Universale: Proposta di un metodo di robustificazione agnostico al tipo di attacco, applicabile sia a PGD che a MalGuise.
Scoperte Critiche:
- L'addestramento adversarial sul sorgente è essenziale per le difese PGD ma controproducente per le difese MalGuise.
- La robustezza non è trasversale: difendersi da un tipo di attacco non protegge dall'altro.
- I rilevatori adattivi mostrano una robustezza intrinseca inaspettata contro attacchi black-box a livello di binario.

5. Significato e Raccomandazioni

Il lavoro dimostra che non esiste una "panacea" unica per rendere robusti i rilevatori di malware adattivi. Le raccomandazioni pratiche sono:

Contro attacchi White-Box (PGD): Utilizzare DART (kl) o DART (adv) con addestramento su sorgente e target. È fondamentale adattare il budget di perturbazione ( $\epsilon$ ) alla forza dell'attacco previsto.
Contro attacchi Black-Box (MalGuise): Utilizzare MalGuise (clean) (addestramento solo sul target). L'aggiunta di perturbazioni sul sorgente non giustifica il crollo delle prestazioni e i costi elevati.
Architettura Futura: Gli autori suggeriscono un'architettura "multi-view" (ensemble) dove modelli specializzati per diversi spazi di perturbazione (es. uno per PGD, uno per MalGuise) lavorano in parallelo, costringendo l'attaccante a bypassare simultaneamente spazi di attacco strutturalmente diversi.

In sintesi, la robustezza nei sistemi adattivi richiede strategie di difesa specifiche per il vettore di attacco, e l'approccio "one-size-fits-all" dell'addestramento adversarial classico non è sufficiente né sempre ottimale.