Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats

Probleemstelling

Machine learning-gebaseerde malware-detectoren staan voor twee fundamentele uitdagingen:

1. Concept Drift: Malware ontwikkelt zich continu, waardoor modellen die op oude data zijn getraind, hun effectiviteit verliezen op nieuwe bedreigingen.
2. Adversariële Ontduiking: Aanvallers creëren specifiek ontworpen malware om detectie te omzeilen.

Hoewel deze problemen apart zijn bestudeerd, is de combinatie ervan—de adversariële robuustheid van drift-adaptieve detectoren—niet eerder onderzocht. De bestaande drift-adaptieve detector AdvDA (Adversarial Domain Adaptation) past zich periodiek aan aan nieuwe data door de verdelingen van een gelabelde bron-domein (oud) en een doel-domein (nieuw, beperkt gelabeld) op elkaar af te stemmen. Echter, de robuustheid die op het bron-domein wordt geleerd, transferreert mogelijk niet naar het doel-domein, en bestaande verdedigingen gaan uit van een vaste data-distributie, wat niet geldt bij concept drift.

Methodologie

De auteurs stellen AdvDA centraal en introduceren een universeel robuustmakingsframework om dit model te verdedigen tegen aanvallen.

1. Het Framework:

   • Het framework fine-tunes een vooraf getraind AdvDA-model op adversariële getransformeerde inputs.
   • Het is onafhankelijk van het type aanval en de keuze van transformaties.
   • De kernvraag is of adversariële training op het bron-domein (source) nodig is om robuustheid op het doel-domein (target) te bereiken, of dat training op het doel-domein alleen volstaat.

2. Bedreigingsmodellen:

   • Witdoos (White-Box): PGD (Projected Gradient Descent) aanval. De aanvallers hebben volledige toegang tot het model en voegen beperkte $\ell_\infty$-perturbaties toe aan de invoer-features.
   • Zwartdoos (Black-Box): MalGuise. Een state-of-the-art aanval op binair niveau die malware-binarities wijzigt via functionaliteitbehoudende controle-flow mutaties (gebaseerd op Monte Carlo Tree Search), zonder kennis van het model.

3. Verdedigingsvarianten (5 in totaal):

   • DART-gebaseerd (voor PGD): Drie varianten die verschillen in hoe het bron-domein wordt behandeld:
     • Clean: Bron data is schoon, alleen doel-data is verstoord.
     • Adv: Bron data wordt verstoord door PGD om de classificatie-fout te maximaliseren.
     • KL: Bron data wordt verstoord om de KL-divergentie tussen schone en verstoorde voorspellingen te maximaliseren.
   • MalGuise-gebaseerd (voor MalGuise): Twee varianten:
     • Clean: Bron data is schoon, doel-data is gegenereerd door MalGuise.
     • Adv: Zowel bron- als doel-data worden gegenereerd door MalGuise.

4. Experimenteel Opzet:

   • Dataset: MB-24+, een dataset van Windows-malware over negen maanden (maart t/m december 2024) om concept drift te simuleren.
   • Sessies: Vijf maandelijkse adaptatievensters.
   • Metingen: Aanvalsuccesratio (ASR), schone True Positive Rate (TPR) en computationele kosten.

Belangrijkste Resultaten

1. Kwetsbaarheid van de Basis:

   • De onbescheremde AdvDA is 100% kwetsbaar voor PGD-aanvallen.
   • De onbescheremde AdvDA is matig kwetsbaar voor MalGuise (ongeveer 13% aanvalsucces), waarschijnlijk omdat de domain-adaptatie en de ResNet-achtergrond de lokale binaire wijzigingen afzwakken.

2. Effectiviteit van Verdedigingen:

   • Tegen PGD: DART-gebaseerde verdedigingen zijn zeer effectief. De varianten met adversariële training op het bron-domein (DART adv/kl) verlagen de ASR van 28,6% naar 3,2%. Bron-training is hier essentieel.
   • Tegen MalGuise: MalGuise-gebaseerde verdedigingen verlagen de ASR naar 5,1% (clean target) of 3,2% (met bron-training). Echter, het toevoegen van bron-training (MalGuise adv) levert slechts een marginaal voordeel op in ASR, maar veroorzaakt een dramatische daling in schone TPR (32-44%) en een enorme toename in rekentijd (76,8x).

3. Geen Transfer van Robuustheid:

   • Er is geen cross-attack robuustheid. Verdedigingen getraind tegen PGD bieden geen bescherming tegen MalGuise, en vice versa. Een model dat robuust is tegen gradient-based perturbaties, blijft kwetsbaar voor structurele binaire mutaties.

4. Kosten en Trade-offs:

   • DART (kl) biedt de beste balans voor witdoos-aanvallen: hoge robuustheid, hoge schone TPR en redelijke kosten.
   • MalGuise (clean) is de beste keuze voor zwartdoos-aanvallen: het biedt sterke bescherming met minimale impact op de schone detectie en lage kosten. De variant met bron-training (MalGuise adv) wordt afgeraden vanwege de hoge kosten en lage nauwkeurigheid.

Belangrijkste Bijdragen

1. Eerste Studie: Dit is het eerste onderzoek naar de adversariële robuustheid van een domain-adaptatie gebaseerde malware-detecteur, specifiek onder concept drift.
2. Universeel Framework: Een nieuw framework dat een bestaand drift-adaptief model robuust maakt, onafhankelijk van het type aanval.
3. Kerninzichten:
   • Bron-adversariële training is essentieel voor feature-space verdedigingen (PGD) maar contraproductief voor binaire verdedigingen (MalGuise).
   • Robuustheid transferreert niet tussen verschillende bedreigingsmodellen (gradient-based vs. structure-based).

Significantie en Aanbevelingen

De studie concludeert dat er geen "one-size-fits-all" verdediging bestaat voor drift-adaptieve malware-detectoren. De keuze van verdediging moet afhankelijk zijn van het verwachte aanvalsvector:

• Voor witdoos-aanvallen (PGD): Gebruik DART (kl) met bron-adversariële training.
• Voor zwartdoos-aanvallen (MalGuise): Gebruik MalGuise (clean) (training alleen op het doel-domein).

De auteurs suggereren voor de toekomst een multi-view verdedigingsarchitectuur, waarbij gespecialiseerde modellen (één getraind op PGD, één op MalGuise) worden gecombineerd in een ensemble. Dit zou aanvallers dwingen om gelijktijdig meerdere, structureel verschillende ruimtes te omzeilen, wat de drempel voor succesvolle aanvallen aanzienlijk verhoogt.