Resumo Técnico: Envenenamento de Caixa Cinzenta de Pipelines de Ingestão Contínua de Malware

Declaração do Problema

Os sistemas modernos de detecção de malware dependem cada vez mais de pipelines de Operações de Aprendizado de Máquina (MLOps) que automatizam a ingestão contínua, a extração de características e o re-treinamento de modelos para combater o alto volume de ameaças novas (estimado em ~560.000 amostras diárias). Enquanto ataques de evasão visam os modelos no momento da inferência, este artigo investiga uma ameaça mais insidiosa: o envenenamento de dados dentro do pipeline de ingestão.

Em um cenário de envenenamento, um adversário injeta amostras maliciosas na cadeia de suprimentos de dados de treinamento, efetivamente "corrompendo" o conjunto de dados para induzir comportamento errôneo do modelo em versões futuras. Diferentemente de ataques no espaço de características que manipulam vetores abstratos (que frequentemente carecem de contrapartes executáveis válidas devido ao problema do mapeamento inverso de características), este trabalho foca no envenenamento no espaço do problema. O desafio reside em gerar binários PE (Executável Portátil) adversariais que preservem a funcionalidade maliciosa enquanto manipulam sutilmente as características para contornar a escrutínio inicial e degradar o desempenho do modelo de detecção.

Metodologia

Modelo de Ameaça

Os autores formalizam um modelo de ameaça de caixa cinzenta onde:

• O Defensor mantém um conjunto de treinamento privado ($D_T$), uma fonte de ingestão ($D_I$) e um modelo de detecção ($M_D$).
• O Adversário tem acesso a dados públicos ($D_{pub}$) e a um modelo proxy ($M_A$) que aproxima o mapeamento de extração de características do defensor ($\phi$).
• O adversário gera amostras envenenadas ($D_P$) para evadir o modelo proxy e as injeta no pipeline de ingestão, visando rotular incorretamente amostras maliciosas como benignas.

Construção do Conjunto de Dados

O estudo utiliza um conjunto de dados híbrido construído a partir de:

1. Binários PE Crus: Obtidos do VirusShare, MalShare e TheZoo, combinados com arquivos benignos do sistema operacional.
2. EMBER2024: Um conjunto de dados baseado em características de grande escala.
   Os autores removeram duplicatas dos dados usando o Hash Sensível à Localidade da Trend Micro (TLSH) e extraíram características da versão 3 do EMBER, neutralizando artefatos como carimbos de data e hora. Os dados foram divididos em quatro conjuntos: Treinamento do Defensor (40%), Feed de Entrada (20%), Oracle (20%) e Retenção (20%).

Geração Adversarial

Utilizando o framework secml_malware, os autores geraram binários adversariais no espaço do problema usando duas estratégias principais de manipulação:

1. Injeções na Tabela de Endereços de Importação (IAT): Injeção de entradas de binários benignos na IAT de amostras maliciosas.
2. Injeções de Seções: Injeção de seções de código benigno na estrutura PE.

Essas manipulações foram realizadas usando uma abordagem baseada em heurística (estratégia GAMMA) via algoritmos genéticos, pois ataques de caixa branca baseados em gradientes produziram taxas de evasão negligenciáveis devido a desconexões no espaço de características.

Mecanismo de Defesa

A defesa proposta é um ensemble homogêneo atuando como um filtro pré-ingestão (Oracle). Este middleware consiste em três modelos LightGBM treinados em:

1. Distribuição de bytes.
2. Conteúdo (strings/bibliotecas).
3. Características estruturais.
   Uma amostra é ingerida apenas se todos os três modelos chegarem a um consenso.

Resultados Principais

Eficácia do Ataque

O estudo demonstra que perturbações sutis que preservam a funcionalidade podem degradar significativamente o desempenho do modelo quando rotuladas incorretamente como benignas:

• Taxas de Evasão: Ataques de alta intensidade (8 injeções de IAT e 8 injeções de Seção) alcançaram uma taxa de evasão de 50,8% contra o modelo proxy do atacante.
• Impacto do Envenenamento: Quando injetadas no conjunto de treinamento com rótulos incorretos (maliciosas rotuladas como benignas), manipulações sutis (2 injeções de IAT) causaram a degradação mais significativa no recall de detecção (caindo de ~0,947 para 0,860), sugerindo que perturbações mínimas estão mais próximas do limite de decisão.
• Compromisso: Embora ataques de alta intensidade sejam eficazes para evasão, eles aumentam significativamente o tamanho do arquivo e são mais facilmente detectados por oráculos estruturais.

Desempenho da Defesa

O filtro de ensemble homogêneo provou ser altamente eficaz:

• Eficiência de Filtragem: O ensemble combinado filtrou com sucesso 95,6% das tentativas de envenenamento de alta intensidade (8 IAT/8 Seção).
• Retenção: A defesa manteve uma taxa de retenção de 84,5% para dados legítimos (limpos).
• Especificidade de Detecção: O Modelo Estrutural foi o componente individual mais eficaz, filtrando 94,2% das amostras de alta intensidade, enquanto os modelos Distribucional e de Conteúdo foram menos eficazes (25,0% e 18,4%, respectivamente).

Significado e Alegações

O artigo alega ilustrar o desafio inerente de desenvolver perturbações adversariais de baixa visibilidade que mantenham alta eficácia de envenenamento dentro de sistemas de aprendizado contínuo. As descobertas principais incluem:

1. Sigilo vs. Eficácia: Existe um compromisso crítico entre o sigilo adversarial e a eficácia do envenenamento. Perturbações sutis baseadas em IAT são compactas e eficazes na degradação do recall, mas são mais difíceis de detectar do que modificações de alta intensidade.
2. Vulnerabilidade do Pipeline: Pipelines de ingestão automatizada são vulneráveis à corrupção da cadeia de suprimentos de dados, necessitando de validação robusta pré-ingestão.
3. Viabilidade da Defesa: Uma abordagem de validação multifacetada usando um ensemble homogêneo de oráculos pode identificar e filtrar com sucesso a vasta maioria das tentativas de envenenamento sem impedir significativamente a ingestão de dados legítimos.

Os autores observam que esta é uma avaliação preliminar usando um subconjunto reduzido (12.500 amostras) e um evento de envenenamento de etapa única. Trabalhos futuros são necessários para escalar para o conjunto de dados híbrido completo, investigar a transferibilidade em configurações de caixa preta total e analisar o envenenamento persistente ao longo de múltiplos intervalos contínuos.