🤖 machine learning

Building an Adversarial Malware Dataset by Family and Type: Generation, Evasion, and Poisoning Evaluation

本文介绍了一个源自 RawMal-TF 集合的、包含超过 77,000 个对抗性 PE 恶意软件样本的公开数据集，展示了这些样本对 EMBER 分类器的高逃逸率及其对基于机器学习的检测系统的显著投毒影响。

原作者： David Košťál, Martin Jureček

发布于 2026-05-26

📖 1 分钟阅读☕ 轻松阅读

原作者： David Košťál, Martin Jureček

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一场在两队之间进行的“找出伪装者”的高风险游戏：一方是“防御者”（网络安全专家），另一方是“攻击者”（黑客）。

多年来，防御者一直使用一位非常聪明、自动化的裁判，名为EMBER。这位裁判会检查计算机程序（具体是 Windows 文件），并判定：“这看起来像病毒”或“这看起来是安全的”。防御者通过向裁判展示数百万个恶意文件和良性文件的示例来训练它。

然而，攻击者变得越来越狡猾。他们不再仅仅编写新病毒，而是学习如何伪装他们的病毒，让裁判误以为它们是无害的。这被称为“对抗性攻击”。

本文讲述的是一组研究人员决定为防御者建立一个庞大的训练健身房。他们希望创建一个包含大量“伪装”病毒的集合，以观察裁判在识别它们时的表现，并测试如果裁判在训练过程中被欺骗会发生什么。

以下是他们工作的分解，使用了简单的类比：

1. 原材料：“怪物动物园”

研究人员从一个名为RawMal-TF的公开真实世界恶意软件集合开始。你可以把它想象成一个动物园，里面关着数千只真实且危险的怪物（病毒）。

A 组（家族动物园）： 他们根据怪物的“家族姓氏”对这些怪物进行分类（例如，所有的“特洛伊木马”兄弟，所有的“间谍软件”表亲）。
B 组（类型动物园）： 他们根据怪物的“工作描述”对它们进行分类（例如，“这个窃取密码”，“这个删除文件”）。

2. 伪装艺术家：“生成器”

为了创建对抗性数据集，研究人员没有直接复制这些怪物，而是聘请了一支伪装艺术家团队（称为生成器的软件工具）。

目标： 对真实怪物进行微调，使其刚好足以让裁判（EMBER）误以为它是一只无害的小狗，但怪物仍然能执行其邪恶工作。
工具： 他们使用了五位不同的艺术家（如MalwareTotal、MAB-Malware和GAMMA Sections）。有些艺术家像画家（在文件中添加无害的颜料），而另一些则像裁缝（缝入额外的布料以隐藏形状）。
结果： 他们创建了两个庞大的新集合：
- 44,347 个带有家族标签的伪装怪物。
- 33,596 个带有类型标签的伪装怪物。

魔术戏法： 这些艺术家非常出色。面对标准裁判（EMBER），98% 的家族标签怪物和92% 的类型标签怪物成功欺骗了裁判，使其认为它们是安全的。

3. “投毒”训练实验

这是本文最关键的部分。研究人员问道：“如果我们在裁判学习过程中欺骗它，会发生什么？”

想象裁判是一名正在备考的学生。研究人员将他们新的伪装怪物集合混入了学生的学习指南中。

陷阱： 他们告诉学生：“这些伪装怪物实际上是安全的。”（实际上，它们仍然危险）。
测试： 他们仅对0.5% 的学习指南进行了投毒（极少量）。

惊人的结果：

在投毒之前，学生能识别出约74% 的伪装怪物。
在被那微小的 0.5% 谎言欺骗后，学生识别怪物的能力暴跌至仅 7%。
教训： 极少量的“投毒”信息（错误标记的数据）可以完全破坏学生执行任务的能力，即使他们在常规测试中似乎表现良好。

4. 一线希望：“对抗性训练”

研究人员还测试了相反的情况。如果他们将伪装怪物混入学习指南，但正确地将它们标记为“危险”呢？

结果： 学生实际上变得更优秀了。通过研究这些伪装，学生学会了如何识别它们。这被称为“对抗性训练”。
启示： 如果你向防御者展示攻击者使用的技巧（并正确标记它们），防御者会变得强大得多。

5. 最后的礼物：公共图书馆

研究人员并没有将这些结果据为己有。他们将所有内容——原始怪物、伪装版本以及关于伪装方式的所有笔记——打包成一个公共图书馆（数据集）。

为什么？ 这样其他研究人员就可以使用这个“健身房”来构建更好的裁判，使其无法被这些技巧欺骗。
局限： 他们承认，虽然他们的技巧对标准裁判（EMBER）非常有效，但在面对“超级裁判”（真实公司使用的商业杀毒软件）时，成功率较低。这意味着攻击者要欺骗最佳防御系统，仍有许多工作要做。

总结

简而言之，本文是一个庞大的恶意软件伪装套件。作者表明：

使用正确的工具，很容易欺骗当前的 AI 恶意软件检测器。
如果在 AI 训练期间对它撒谎（即使只是一点点），就可以彻底破坏它。
如果你说出真相并向 AI 展示伪装，你可以让它变得强大得多。

他们将此套件发布给世界，以便防御者能够在坏人真正使用这些伪装之前，练习识别它们。

技术摘要：按家族和类型构建对抗性恶意软件数据集

问题陈述
恶意软件检测领域日益依赖机器学习（ML）分类器，然而这些系统易受对抗性攻击，即恶意行为者修改可执行文件以逃避检测，同时保持其功能。研究界存在一个显著缺口：缺乏包含经过系统性转换为对抗样本的真实世界恶意软件二进制文件的大规模、公开可用数据集。现有的对抗性生成器通常需要复杂的设置、大量的计算资源，或无法扩展到有意义的数据集规模。此外，基于机器学习的检测管道对数据投毒攻击（即训练数据被错误标记的样本污染）的易感性在大规模层面仍未得到充分探索。

方法论
作者构建了一个全面的对抗性恶意软件数据集，该数据集源自公开数据集 RawMal-TF，其中包含按家族（17 个不同家族）或类型（14 种类型，例如特洛伊木马、间谍软件）标记的真实世界可移植可执行文件（PE）。

生成器选择与部署：
研究利用了一套五个自动化对抗性恶意软件生成器：Pesidious、MAB-Malware、AMG、GAMMA Sections（来自 SecML Malware）和 MalwareTotal。
- 目标分类器： 大多数生成器针对 EMBER (2018) 分类器。为了增加多样性和挑战性，MalwareTotal 也被调整以针对 EMBER2024，这是一个更新、更鲁棒的特征集和模型。
- 基础设施： 作者在 NVIDIA DGX Station A100 服务器的容器化环境（Docker）中部署了这些生成器。他们开发了一个自定义的“测试框架”脚本来管理并行执行、监控进程挂起并处理资源限制。
- 修改： 若干生成器需要代码调整才能在 Linux 环境中运行，包括用跨平台的 PEzor 替换特定于 Windows 的打包器，以及重新训练代理以支持新的目标分类器。
样本选择与过滤：
- 该流程处理源样本以生成对抗性变体。
- 采用了一种选择算法（算法 1）来为每个源文件选择单个最佳对抗性变体。主要标准是 EMBER 分数（越低越有利于逃避），次要约束是文件大小增加（偏好比率 $\le$ 1.5 倍，硬性上限为 25 MB）。
- 无论原始分类状态（恶意或良性）如何，只要成功修改，数据集均包含这些样本以确保多样性。
- 病态情况（例如未修改的输出、不同输入产生相同输出的坍缩样本）被检测并过滤掉。
评估指标：
- 逃避性能： 通过 EMBER 分数的降低和被评为良性的样本百分比来衡量。
- 反病毒逃避： 针对 VirusTotal (VT) 进行评估，具体分析所有可用引擎的检测率以及精选的“前 10 名”商业反病毒软件列表。
- 开销： 通过文件大小的增加来衡量。
数据投毒实验：
作者进行了训练实验以评估数据投毒的影响。他们在 LightGBM 分类器（基于 RawMal-TF 特征训练）的训练集中注入对抗性样本，条件如下：
- 投毒比例： 训练数据中被对抗性样本替换的百分比（范围从 0.1% 到 20%）。
- 迁移率 ( $\tau$ )： 注入的恶意样本中被错误标记为良性的比例。 $\tau=0$ 代表对抗性训练（正确标签），而 $\tau=1$ 代表最大投毒（错误标签）。

主要贡献

AdvMal-TF 数据集： 发布两个大规模、公开可用的数据集：
- 家族标记： 44,347 个对抗性样本。
- 类型标记： 33,596 个对抗性样本。
- 两个数据集均包含丰富的元数据，包括 EMBER 分数、EMBER2024 分数和 VirusTotal 分类。
可扩展生成流程： 一个稳健的容器化框架，用于并行运行多个对抗性生成器，解决了研究级恶意软件工具中常见的可靠性问题。
投毒分析： 实证证据量化了恶意软件分类器对小规模数据投毒攻击的脆弱性，以及正确标记的对抗性训练的有效性。

结果

逃避率：
- 针对 EMBER 分类器，家族标记数据集对原始被检测样本实现了 98.35% 的逃避率，类型标记数据集实现了 92.20%。
- GAMMA Sections 和 Pesidious 对 VirusTotal 上的商业反病毒软件特别有效，尽管逃避率因生成器和目标的不同而有显著差异。
- 针对 EMBER2024 的生成器取得了较低的成功率，突显了新模型的增强鲁棒性。
文件大小开销： GAMMA Sections 产生的文件大小增加最大（通常 >1000%），而 MalwareTotal 在分数降低与大小增加之间提供了最佳平衡。
投毒影响：
- 高脆弱性： 注入仅占训练数据 0.5% 的完全错误标记样本（ $\tau=1.0$ ），使重新训练的分类器在家族标记数据集上的逃避率从基线 26.1% 增加到 92.8%。
- 对抗性训练： 相反，注入正确标记的对抗性样本（ $\tau=0$ ）始终将逃避率降低到基线以下，起到了有效的对抗性训练作用。
- 指标稳定性： 即使逃避率崩溃，F1 分数仍保持具有欺骗性的稳定，表明标准指标可能无法检测到由投毒引起的对抗鲁棒性退化。
数据集特征： 家族标记数据集显示出过拟合迹象（高基线 F1 但跨数据集泛化能力差），而类型标记数据集表现出更大的多样性和更现实的基线性能。

意义
该论文断言，AdvMal-TF 数据集通过提供大规模、功能保留的真实世界对抗性二进制文件，填补了关键资源缺口。作者声称，该资源将促进未来关于以下方面的研究：

对抗性恶意软件： 了解当前逃避技术的能力与局限性。
数据投毒： 评估检测管道对训练数据污染的鲁棒性。
防御鲁棒性： 通过利用正确标记样本进行对抗性训练，开发更具弹性的分类器。

该工作强调，虽然当前生成器在面对 EMBER2024 等先进分类器时表现挣扎，但拥有多样化、大规模的数据集对于推进防御策略至关重要。作者得出结论，训练数据的质量（特别是标签的正确性）与数据量在决定分类器鲁棒性方面同样关键。