Evaluating Endpoint Detection Robustness Against Genetic Algorithm Driven Code Transformations

技術要約：遺伝的アルゴリズムによるコード変換に対するエンドポイント検知の堅牢性の評価

問題提起
現代のエンドポイント検知および対応（EDR）およびアンチウイルス（AV）システムは、シグネチャベースのスキャンと振る舞いテレメトリを組み合わせたハイブリッドなアプローチにますます依存している。しかし、適応的かつ自動的に変異するコードのバリアントに対するこれらの防御の堅牢性は、依然として十分に理解されていない。MsfVenom、Veil、TheFatRatといった既存のツールは、難読化されたペイロードを生成するが、これらは多くの場合、現代の検知システムにおいてベースラインのアラートを誘発する既知のエンコーディングスキームや固定テンプレートに依存している。さらに、先行研究の多くはウェブベースのペイロード（例：XSS）や静的なバイナリ変換に焦点を当てており、事後侵害の振る舞い、特にリバースシェルの、静的および動的な検知レイヤーに対する系統的な評価には空白がある。したがって、意味を保持する変換が検知の信頼性にどのように影響するかをベンチマークするための制御されたフレームワークと、現在の防御パイプラインにおけるカバレッジのギャップを特定するための枠組みが必要とされている。

手法：ShellForgeフレームワーク
著者らは、防御のベンチマークのために、機能的に等価な事後侵害テストバリアント（具体的にはPythonベースのリバースシェル）を進化させるために設計された、遺伝的アルゴリズム（GA）駆動型のフレームワークであるShellForgeを導入する。このシステムは、以下の3つの統合されたサブシステムからなるクローズドループで動作する：

1. 遺伝的アルゴリズムエンジン:

   • 染色体表現: 各染色体は、2つのセグメントに分かれた完全な変換戦略をエンコードする：静的変換（例：XORエンコーディング、Base64ラッピング、ROT、文字列分割、デッドコード挿入）および振る舞いのパラメータ（例：実行遅延、リソース閾値、VM検出などの環境チェック）。
   • 進化演算子: システムは、トーナメント選択（$k=3$）、一様交叉（$p_c=0.7$）、およびランダム変異（$p_m=0.2$）を採用する。エリート保存法により、上位10%の個体を保持する。
   • 探索空間: GAは、検知を回避しながら機能を維持するバリアントを見つけるために、難読化演算子の組み合わせとその順序を探索する。

2. ペイロード変換パイプライン:

   • このモジュールは染色体をデコードし、指定された演算をベースのリバースシェル・テンプレート（MsfVenomによって生成）に適用する。これは、構文の正当性と運用の妥当性を確保し、変換された断片を結合して実行可能なペイロードを作成する。

3. 評価フレームワーク:

   • 静的解析: ペイロードは、ClamAVやWindows Defenderのローカルインスタンスを含む複数のエンジンに対してスキャンされる。また、VirusTotal API（上位20%の候補者）に対しても行われる。
   • 振る舞い解析: ペイロードはCAPE/Cuckooサンドボックス内で実行され、実行時の振る舞い、プロセスツリー、ネットワークトレース、およびファイルシステムとの相互作用を監視する。
   • 機能チェック: リスナーは、成功したTCPコールバックの確立、コマンド実行（例：whoami, pwd）、およびセッションの安定性を検証する。
   • 適合度関数: 以下の4つの重み付け基準のバランスをとる多目的スコア（$F$）を用いる：
     • 静的堅牢性 (40%): AVシグネチャに対する耐性。
     • 振る舞いの堅牢性 (35%): サンドボックス・テレメトリにおける隠密性。
     • 機能性 (20%): リバースシェルのバイナリとしての成功。
     • 効率性 (5%): ペイロードのサイズとオーバーヘッド。

実験設定
実験は、3台の仮想マシンを使用した隔離された仮想テストベッド内で実施された：生成/オーケストレーション用マシン（Kali Linux）、ターゲットマシン（AVエンジンを備えたWindows 11）、および解析用マシン（Ubuntu上で動作するCAPE Sandbox）。ShellForgeは、ベースラインとなるフレームワーク（未エンコードのMsfVenom、shikata_ga_naiを適用したMsfVenom、Veil-Evasion、およびTheFatRat）に対してベンチマークが行われた。

主要な結果

• 収束: GAは急速に収束し、最良の個体は第5世代までに0.906の適合度スコアに達した。探索空間は適切に形成されており、堅牢なソリューションの迅速な発見が可能であることが示された。
• 検知回避:
  • ベースラインフレームワーク: MsfVenome（62件中19件の検知）、shikata_ga_nai（62件中44件）、Veil（62件中2件）、およびTheFatRat（62件中27件）はすべて、重大な検知率を記録し、サンドボックスによって一貫して「悪意あり（Malicious）」と判定された。
  • ShellForge: 進化した最良のバリアントは、VirusTotalにおいて62件中0件の検知を達成し、振る舞いサンドボックスからは「判定不能（Inconclusive）」という判定を受けた。
• 最適な戦略: GAは、XORエンコーディング（key=42）と単一イテレーションのBase64ラッピングを組み合わせた戦略を進化した。特筆すべきは、最も堅牢な構成はすべての環境チェック（VM検出、デバッガ探索）を無効化し、静的な難読化のみに依存していた点である。
• 機能性: 進化したペイロードは100%の機能性を維持し、リバースシェルの確立とコマンド実行に成功した。ファイルサイズは約3KBであった（ベースラインの約450バイトと比較して）。

意義と貢献
本論文は、防御的セキュリティ研究の分野における以下の主要な貢献を主張している：

1. 統合フレームワーク: ShellForgeは、静的AVと振る舞いベースのEDR型解析の両方を同時に評価する統一されたフレームワークの下で、リバースシェルの事後侵害バリアントを進化させるために遺伝的アルゴリズムを適用した初の研究である。
2. 自動発見: 本研究は、自動化された進化的な探索が、既定の難読化ライブラリには含まれていない新しい変換の組み合わせ（具体的にはXOR + Base64のシーケンス）を発見できることを実証しており、その結果、固定テンプレート型のツールよりも低いベースラインのアラートを実現した。
3. 堅牢性への洞察: 主要な発見は、最小限の振る舞いの複雑さと強力な静的変換の組み合わせが、最高の検知堅牢性をもたらすことである。この結果は、シグネチャベースの検知下では、静的変換の質が複雑な振る舞い回避技術よりも、回避の決定要因として強力であることを示唆している。
4. 防御的ベンチマーク: 本研究は、エンドポイント検知の堅牢性を評価するための再現可能なベンチマークを提供し、静的シグネチャに大きく依存する現在のシステムにおける実用的な盲点を浮き彫りにしている。

結論
著者らは、ShellForgeは攻撃的なツールではないものの、意味を保持しつつ適応的に変化するコード変換に直面した際の、純粋にシグネチャ指向の検知の限界を効果的に示していると結論付けている。本研究は、静的なコード解析、振る舞いの相関関係、および機械学習ベースの分類器を取り入れることで、進化的なペイロード生成によって明らかになったギャップに対処する必要があることを動機づけている。今後の課題は、このフレームワークを多様な実行形式およびプログラミング言語へと拡張することである。