Can Drift-Adaptive Malware Detectors Be Made Robust? Attacks and Defenses Under White-Box and Black-Box Threats

Título: Detectores de Malware Adaptativos a Deriva Podem Ser Tornados Robustos? Ataques e Defesas Sob Ameaças de Caixa Branca e Caixa Preta

1. O Problema

A detecção de malware baseada em aprendizado de máquina enfrenta dois desafios fundamentais que, quando combinados, criam uma vulnerabilidade crítica:

1. Deriva de Conceito (Concept Drift): Os autores de malware evoluem constantemente suas técnicas, fazendo com que modelos treinados em dados antigos percam eficácia sobre novas ameaças. Para mitigar isso, utilizam-se detectores adaptativos, como o AdvDA (Adversarial Domain Adaptation), que realinham periodicamente as distribuições de características entre um domínio de origem (dados antigos rotulados) e um domínio de destino (novos dados com poucos rótulos).
2. Evasão Adversarial: Ataques projetados para enganar o classificador.

A Lacuna de Pesquisa: Embora a deriva de conceito e a evasão adversarial tenham sido estudadas separadamente, a robustez adversarial de detectores adaptativos a deriva permanecia inexplorada. Defesas existentes assumem distribuições de dados fixas e não consideram que a robustez aprendida no domínio de origem pode não transferir-se para o domínio de destino em um cenário de deriva contínua.

2. Metodologia

Os autores propõem o AdvDA, um detector de malware adaptativo, e desenvolvem um Framework Universal de Robustificação para torná-lo resistente a ataques.

• Framework de Robustificação:

  • O framework pega um modelo AdvDA pré-treinado e faz fine-tuning (ajuste fino) em entradas transformadas adversarialmente.
  • É agnóstico ao tipo de ataque e à escolha de transformações.
  • A função objetivo é modificada para incluir dados transformados ($\tilde{X}_S$ e $\tilde{X}_T$) tanto no domínio de origem quanto no de destino, permitindo investigar se a robustez aprendida na origem transfere-se para o destino.

• Modelos de Ameaça Avaliados:

  1. Caixa Branca (White-Box): Ataque PGD (Projected Gradient Descent) no espaço de características. O atacante tem acesso total aos gradientes e parâmetros do modelo.
  2. Caixa Preta (Black-Box): Ataque MalGuise. Um ataque de nível de binário que modifica o executável PE (Windows) através de mutações de fluxo de controle que preservam a funcionalidade (usando busca MCTS - Monte Carlo Tree Search). O atacante só conhece o tipo de recurso e pode consultar o detector.

• Variações de Defesa (5 Variantes):

  • Baseadas em DART (PGD): Três variantes que diferem na transformação do domínio de origem:
    • Clean: Origem limpa, destino perturbado.
    • Adv: Origem e destino perturbados (maximizando a perda de classificação).
    • KL: Origem e destino perturbados (maximizando a divergência KL entre previsões limpas e perturbadas).
  • Baseadas em MalGuise: Duas variantes:
    • Clean: Origem limpa, destino com binários adversariais.
    • Adv: Origem e destino com binários adversariais.

• Configuração Experimental:

  • Dataset: MB-24+ (9 meses de malware Windows, Março a Dezembro de 2024), simulando janelas de adaptação mensais.
  • Métricas: Taxa de Sucesso do Ataque (ASR), Taxa de Verdadeiros Positivos Limpos (Clean TPR) e Custo Computacional.

3. Contribuições Principais

1. Primeiro Estudo de Robustez: É o primeiro estudo a avaliar a robustez adversarial de um detector de malware baseado em Adaptação de Domínio (DA) sob deriva de conceito.
2. Framework Universal: Propõe um método agnóstico ao ataque para robustificar o AdvDA, implementado em 5 variantes cobrindo dois modelos de ameaça distintos.
3. Descobertas Críticas:
   • A robustez não é transferível entre os modelos de ameaça (PGD vs. MalGuise).
   • O papel do treinamento adversarial no domínio de origem é dependente da defesa: essencial para ataques PGD, mas contraproducente para ataques MalGuise.

4. Resultados Chave

• Vulnerabilidade do Baseline: O AdvDA sem defesa é 100% vulnerável ao ataque PGD e moderadamente vulnerável ao MalGuise (13% de sucesso).
• Desempenho contra PGD (Caixa Branca):
  • O treinamento adversarial no domínio de origem é essencial. Variantes que perturbam apenas o destino (DART clean) falham em proteger adequadamente.
  • A melhor defesa (DART adv ou kl) reduz a taxa de sucesso do ataque de ~28% para 3,2% (em FPR 0,5%).
  • Existe um overfitting de robustez: modelos treinados com perturbações fracas ($\epsilon=2/255$) falham contra ataques fortes ($\epsilon=8/255$).
• Desempenho contra MalGuise (Caixa Preta):
  • O AdvDA não defendido já possui uma robustez implícita surpreendente contra MalGuise (devido à arquitetura ResNet-18 e à adaptação de domínio atenuarem perturbações esparsas).
  • O treinamento adversarial no domínio de origem é contraproducente. A variante MalGuise (clean) (apenas destino perturbado) reduz a taxa de sucesso para 5,1% mantendo a precisão de detecção limpa.
  • Adicionar perturbação na origem (MalGuise adv) reduz a taxa de sucesso para 3,2%, mas causa uma queda drástica na precisão limpa (TPR cai 32-44%) e aumenta o custo de treinamento em 76,8x.
• Não Transferibilidade Cruzada:
  • Defesas baseadas em DART (treinadas contra PGD) não oferecem proteção contra MalGuise.
  • Defesas baseadas em MalGuise (treinadas contra binários) são 100% vulneráveis a ataques PGD.
  • Isso demonstra que a robustez é uma propriedade do par "Modelo-Ameaça", não do modelo isolado.

5. Significado e Recomendações

O trabalho redefine como a segurança de detectores de malware adaptativos deve ser abordada:

1. Não existe uma solução única: Não é possível robustificar um detector adaptativo contra ambos os tipos de ameaça (espaço de características e nível de binário) simultaneamente com uma única estratégia de treinamento.
2. Estratégia de Implementação:
   • Para ameaças PGD (Caixa Branca): É obrigatório o treinamento adversarial no domínio de origem. Recomenda-se usar DART (kl) ou DART (adv) com um orçamento de perturbação que corresponda à força do ataque esperado.
   • Para ameaças MalGuise (Caixa Preta): O treinamento adversarial deve ser feito apenas no domínio de destino. Adicionar origem perturbada degrada severamente o desempenho e a eficiência.
3. Futuro: Os autores sugerem uma arquitetura de defesa multi-visão, onde múltiplos detectores especializados (um treinado contra PGD, outro contra MalGuise) operam em conjunto, forçando o atacante a evadir simultaneamente espaços de perturbação estruturalmente distintos.

Conclusão: A robustez em sistemas adaptativos a deriva exige estratégias específicas para o vetor de ataque. A aplicação cega de técnicas de defesa de visão computacional (como treinamento adversarial em origem e destino) pode ser ineficaz ou até prejudicial no contexto de detecção de malware.