Riepilogo Tecnico: Avvelenamento Gray-Box delle Pipeline di Ingestione Continua di Malware

Enunciato del Problema

I moderni sistemi di rilevamento del malware si basano sempre più su pipeline di Machine Learning Operations (MLOps) che automatizzano l'ingestione continua, l'estrazione delle caratteristiche e il riaddestramento dei modelli per contrastare l'alto volume di minacce nuove (stimato in circa 560.000 campioni giornalieri). Mentre gli attacchi di evasione prendono di mira i modelli al momento dell'inferenza, questo documento indaga una minaccia più insidiosa: l'avvelenamento dei dati all'interno della pipeline di ingestione.

In uno scenario di avvelenamento, un avversario inietta campioni maligni nella catena di approvvigionamento dei dati di addestramento, "corrompendo" efficacemente il dataset per indurre comportamenti errati del modello nelle versioni future. A differenza degli attacchi nello spazio delle caratteristiche che manipolano vettori astratti (che spesso mancano di corrispondenti eseguibili validi a causa del problema della mappatura inversa delle caratteristiche), questo lavoro si concentra sull'avvelenamento nello spazio del problema. La sfida consiste nel generare binari PE (Portable Executable) avversari che preservino la funzionalità maligna mentre manipolano sottilmente le caratteristiche per eludere il controllo iniziale e degradare le prestazioni del modello di rilevamento.

Metodologia

Modello di Minaccia

Gli autori formalizzano un modello di minaccia gray-box in cui:

• Il Difensore mantiene un set di addestramento privato ($D_T$), una fonte di ingestione ($D_I$) e un modello di rilevamento ($M_D$).
• L'Avversario ha accesso a dati pubblici ($D_{pub}$) e a un modello proxy ($M_A$) che approssima la mappatura di estrazione delle caratteristiche del difensore ($\phi$).
• L'avversario genera campioni avvelenati ($D_P$) per eludere il modello proxy e li inietta nella pipeline di ingestione, con l'obiettivo di etichettare erroneamente i campioni maligni come benigni.

Costruzione del Dataset

Lo studio utilizza un dataset ibrido costruito da:

1. Binari PE Grezzi: Provenienti da VirusShare, MalShare e TheZoo, combinati con file OS benigni.
2. EMBER2024: Un dataset su larga scala basato su caratteristiche.
   Gli autori hanno deduplicato i dati utilizzando l'hash di sensibilità alla località di Trend Micro (TLSH) ed estratto le caratteristiche EMBER v3, neutralizzando artefatti come i timestamp. I dati sono stati suddivisi in quattro insiemi: Addestramento del Difensore (40%), Feed in Arrivo (20%), Oracle (20%) e Holdout (20%).

Generazione Avversariale

Utilizzando il framework secml_malware, gli autori hanno generato binari avversari nello spazio del problema utilizzando due strategie di manipolazione principali:

1. Iniezioni nella Tabella degli Indirizzi di Importazione (IAT): Iniezione di voci da binari benigni nell'IAT dei campioni maligni.
2. Iniezioni di Sezioni: Iniezione di sezioni di codice benigno nella struttura PE.

Queste manipolazioni sono state eseguite utilizzando un approccio basato su euristiche (strategia GAMMA) tramite algoritmi genetici, poiché gli attacchi white-box basati su gradienti hanno prodotto tassi di evasione trascurabili a causa delle disconnessioni nello spazio delle caratteristiche.

Meccanismo di Difesa

La difesa proposta è un insieme omogeneo che agisce come filtro pre-ingestione (Oracle). Questo middleware è composto da tre modelli LightGBM addestrati su:

1. Distribuzione dei byte.
2. Contenuto (stringhe/librerie).
3. Caratteristiche strutturali.
   Un campione viene ingerito solo se tutti e tre i modelli raggiungono un consenso.

Risultati Chiave

Efficacia dell'Attacco

Lo studio dimostra che perturbazioni sottili e che preservano la funzionalità possono degradare significativamente le prestazioni del modello quando etichettate erroneamente come benignhe:

• Tassi di Evasione: Attacchi ad alta intensità (8 iniezioni IAT e 8 iniezioni di sezioni) hanno raggiunto un tasso di evasione del 50,8% contro il modello proxy dell'attaccante.
• Impatto dell'Avvelenamento: Quando iniettati nel set di addestramento con etichette errate (maligni etichettati come benigni), manipolazioni sottili (2 iniezioni IAT) hanno causato il degrado più significativo nel richiamo del rilevamento (scendendo da ~0,947 a 0,860), suggerendo che perturbazioni minime si trovano più vicine al confine decisionale.
• Compromesso: Sebbene gli attacchi ad alta intensità siano efficaci nell'evasione, aumentano significativamente le dimensioni del file e sono più facilmente rilevati da oracoli strutturali.

Prestazioni della Difesa

Il filtro dell'insieme omogeneo si è dimostrato altamente efficace:

• Efficienza di Filtraggio: L'insieme combinato ha filtrato con successo il 95,6% dei tentativi di avvelenamento ad alta intensità (8 IAT/8 sezioni).
• Ritenzione: La difesa ha mantenuto un tasso di ritenzione dell'84,5% per i dati legittimi (puliti).
• Specificità di Rilevamento: Il Modello Strutturale è stato il singolo componente più efficace, filtrando il 94,2% dei campioni ad alta intensità, mentre i modelli Distribuzionali e di Contenuto sono stati meno efficaci (rispettivamente 25,0% e 18,4%).

Significato e Affermazioni

Il documento afferma di illustrare la sfida intrinseca nello sviluppo di perturbazioni avversarie a bassa visibilità che mantengano un'alta efficacia di avvelenamento all'interno di sistemi di apprendimento continuo. Le scoperte chiave includono:

1. Furtività vs. Efficacia: Esiste un compromesso critico tra la furtività avversaria e l'efficacia dell'avvelenamento. Le perturbazioni sottili basate su IAT sono compatte ed efficaci nel degradare il richiamo, ma sono più difficili da rilevare rispetto alle modifiche ad alta intensità.
2. Vulnerabilità della Pipeline: Le pipeline di ingestione automatizzate sono vulnerabili alla corruzione della catena di approvvigionamento dei dati, rendendo necessaria una convalida robusta pre-ingestione.
3. Fattibilità della Difesa: Un approccio di convalida multifacciale che utilizza un insieme omogeneo di oracoli può identificare e filtrare con successo la vasta maggioranza dei tentativi di avvelenamento senza ostacolare significativamente l'ingestione di dati legittimi.

Gli autori notano che si tratta di una valutazione preliminare utilizzando un sottoinsieme ridotto (12.500 campioni) e un evento di avvelenamento a singolo passaggio. È necessario un lavoro futuro per scalare all'intero dataset ibrido, investigare la trasferibilità in contesti black-box completi e analizzare l'avvelenamento persistente su più intervalli continui.