Technische Samenvatting: Gray-Box Vergiftiging van Continu Malware-innamepijplijnen

Probleemstelling

Moderne malware-detectiesystemen vertrouwen steeds meer op Machine Learning Operations (MLOps)-pijplijnen die de continue inname, kenmerkextractie en hertraining van modellen automatiseren om het hoge volume aan nieuwe bedreigingen het hoofd te bieden (geschat op ongeveer 560.000 dagelijkse samples). Waar ontwijkingaanvallen modellen op het moment van inferentie targeten, onderzoekt dit artikel een meer sluimerende bedreiging: datavergiftiging binnen de innamepijplijn.

In een vergiftigingsscenario injecteert een tegenstander kwaadaardige samples in de leveringsketen van trainingsdata, waardoor het dataseteffectief "vergiftigd" wordt om in toekomstige versies foutief modelgedrag te induceren. In tegenstelling tot aanval in de kenmerkruimte die abstracte vectoren manipuleert (die vaak geen geldig uitvoerbaar tegenhanger hebben vanwege het probleem van de inverse-kenmerktoewijzing), richt dit werk zich op vergiftiging in de probleemruimte. De uitdaging ligt in het genereren van adversariele PE (Portable Executable) binaries die de kwaadaardige functionaliteit behouden terwijl ze subtiel kenmerken manipuleren om initiële controle te omzeilen en de prestaties van het detectiemodel te verslechteren.

Methodologie

Bedreigingsmodel

De auteurs formaliseren een gray-bedreigingsmodel waarbij:

• De Verdediger een privétrainingsset ($D_T$), een innamebron ($D_I$) en een detectiemodel ($M_D$) onderhoudt.
• De Aanvaller toegang heeft tot publieke data ($D_{pub}$) en een proxy-model ($M_A$) dat de kenmerkextractiemapping ($\phi$) van de verdediger benadert.
• De aanvaller vergiftigde samples ($D_P$) genereert om het proxy-model te omzeilen en injecteert deze in de innamepijplijn, met als doel kwaadaardige samples als onschuldig te labelen.

Datasetconstructie

De studie maakt gebruik van een hybride dataset die is samengesteld uit:

1. Rauwe PE-binaries: Afkomstig van VirusShare, MalShare en TheZoo, gecombineerd met onschaduwde OS-bestanden.
2. EMBER2024: Een grootschalige, op kenmerken gebaseerde dataset.
   De auteurs verwijderden duplicaten in de data met behulp van Trend Micro Locality Sensitive Hash (TLSH) en extraheren EMBER v3-kenmerken, waarbij artefacten zoals tijdstempels werden geneutraliseerd. De data werd verdeeld in vier sets: Verdedigerstraining (40%), Inkomende Feed (20%), Oracle (20%) en Holdout (20%).

Adversariële Generatie

Met behulp van het secml_malware-framework genereerden de auteurs adversariële binaries in de probleemruimte met twee primaire manipulatiestrategieën:

1. Import Address Table (IAT)-injecties: Het injecteren van entries uit onschaduwde binaries in de IAT van kwaadaardige samples.
2. Sectie-injecties: Het injecteren van onschaduwde code-secties in de PE-structuur.

Deze manipulaties werden uitgevoerd met een heuristische aanpak (GAMMA-strategie) via genetische algoritmen, aangezien op gradiënten gebaseerde white-box-aanvallen verwaarloosbare omwijkingssuccessen opleverden vanwege disconnecties in de kenmerkruimte.

Verdedigingsmechanisme

De voorgestelde verdediging is een homogeen ensemble dat fungeert als een pre-innamefilter (Oracle). Deze middleware bestaat uit drie LightGBM-modellen getraind op:

1. Byteverdeling.
2. Inhoud (strings/bibliotheken).
3. Structurele kenmerken.
   Een sample wordt alleen ingenomen als alle drie de modellen tot een consensus komen.

Belangrijkste Resultaten

Aanvalseffectiviteit

De studie toont aan dat subtiele, functionaliteitsbehoudende verstoringen de modelprestaties aanzienlijk kunnen verslechteren wanneer ze als onschuldig worden gemist:

• Omwijkingssuccessen: Aanvallen met hoge intensiteit (8 IAT- en 8 sectie-injecties) bereikten een omwijkingssucces van 50,8% tegen het proxy-model van de aanvaller.
• Impact van Vergiftiging: Wanneer ze met onjuiste labels in de trainingsset werden geïnjecteerd (kwaadaardig gelabeld als onschuldig), veroorzaakten subtiele manipulaties (2 IAT-injecties) de grootste verslechtering in detectierecall (dalend van ongeveer 0,947 naar 0,860), wat suggereert dat minimale verstoringen dichter bij de beslissingsgrens liggen.
• Trade-off: Hoewel aanvallen met hoge intensiteit effectief zijn in het omzeilen, vergroten ze de bestandsgrootte aanzienlijk en worden ze gemakkelijker gedetecteerd door structurele orakels.

Prestaties van de Verdediging

Het homogene ensemblefilter bleek zeer effectief:

• Filterefficiëntie: Het gecombineerde ensemble filterde 95,6% van de pogingen tot vergiftiging met hoge intensiteit (8 IAT/8 sectie) succesvol.
• Behoud: De verdediging behield een behoudspercentage van 84,5% voor legitieme (schone) data.
• Detectiespecificiteit: Het Structurele Model was het meest effectieve individuele onderdeel en filterde 94,2% van de samples met hoge intensiteit, terwijl de Distributionele en Inhoudsmodellen minder effectief waren (respectievelijk 25,0% en 18,4%).

Betekenis en Aanspraken

Het artikel beweert de inherente uitdaging te illustreren bij het ontwikkelen van adversariële verstoringen met lage zichtbaarheid die een hoge vergiftigingseffectiviteit behouden binnen continu lerende systemen. Belangrijkste bevindingen zijn:

1. Stilte versus Effectiviteit: Er is een kritieke trade-off tussen adversariële stilte en vergiftigingseffectiviteit. Subtiele op IAT gebaseerde verstoringen zijn compact en effectief in het verslechteren van recall, maar zijn moeilijker te detecteren dan wijzigingen met hoge intensiteit.
2. Kwetsbaarheid van de Pijplijn: Geautomatiseerde innamepijplijnen zijn kwetsbaar voor corruptie van de dataleveringsketen, wat robuuste pre-innamevalidatie vereist.
3. Levensvatbaarheid van Verdediging: Een veelzijdige validatiebenadering met behulp van een homogeen ensemble van orakels kan het overgrote deel van vergiftigingspogingen succesvol identificeren en filteren zonder de inname van legitieme data aanzienlijk te belemmeren.

De auteurs merken op dat dit een voorlopige evaluatie is met een gereduceerde subset (12.500 samples) en een vergiftigingsevent in één stap. Toekomstig werk is vereist om te schalen naar de volledige hybride dataset, transferbaarheid in volledige black-box-situaties te onderzoeken en aanhoudende vergiftiging over meerdere continue intervallen te analyseren.