[論文レビュー] AI-powered Covert Botnet Command and Control on OSNs.

Zhi Wang, Chaoge Liu+7 more|arXiv (Cornell University)|Sep 16, 2020

Network Security and Intrusion Detection参考文献 28被引用数 4

ひとこと要約

本稿では、オンラインソーシャルネットワーク（OSN）を用いたAI駆動の隠れ命令制御（C&C）チャネルを提案する。ボットはニューラルネットワークで処理されたアバター特徴を用いてボスマスタを特定し、テキストデータ拡張およびハッシュ衝突技術を用いて通常のコンテンツから命令を抽出する。Twitterを用いた実験により、命令を埋め込んだコンテンツの効率的生成およびボスマスタの正確な同定と命令回収が可能であることを示した。

ABSTRACT

Botnet is one of the major threats to computer security. In previous botnet command and control (C&C) scenarios using online social networks (OSNs), methods for finding botmasters (e.g. ids, links, DGAs, etc.) are hardcoded into bots. Once a bot is reverse engineered, botmaster is exposed. Meanwhile, abnormal contents from explicit commands may expose botmaster and raise anomalies on OSNs. To overcome these deficiencies, we propose an AI-powered covert C&C channel. On leverage of neural networks, bots can find botmasters by avatars, which are converted into feature vectors. Commands are embedded into normal contents (e.g. tweets, comments, etc.) using text data augmentation and hash collision. Experiment on Twitter shows that the command-embedded contents can be generated efficiently, and bots can find botmaster and obtain commands accurately. By demonstrating how AI may help promote a covert communication on OSNs, this work provides a new perspective on botnet detection and confrontation.

研究の動機と目的

• ハードコードされた識別子や異常な命令パターンを露呈する従来のボットネットC&Cメカニズムの脆弱性を是正すること。
• ツイートやコメントのような見かけ上通常のユーザーデータに命令を埋め込むことで、OSN上でのボットネット通信の検知可能性を低減すること。
• 静的識別子を避けるために、アバターからのAIベースの特徴抽出を用いてボットが動的にボスマスタを発見できること。
• ニューラルネットワークとステガノグラフィック技術を活用することで、逆ルーティング解析や異常検知に対する耐性を向上させること。

提案手法

• ボスマスタのアバターをニューラルネットワークで特徴ベクトルに変換し、ボット間の識別と命令ルーティングに用いる。
• 自然な見た目のソーシャルメディアコンテンツを生成するためのテキストデータ拡張を用い、意味的意味を損なわずに隠し命令を埋め込む。
• ハッシュ衝突技術を適用して、言語的に妥当性を保ちつつ、命令ペイロードを無害なテキストコンテンツにマッピングする。
• ボットがOSNのコンテンツをスキャンし、特徴ベクトルを照合してボスマスタを特定し、ステガノグラフィックに符号化されたメッセージから命令を抽出するC&Cプロトコルを設計する。
• 実世界のOSNプラットフォーム（Twitter）にシステムを統合し、実現可能性とステルス性を評価する。
• 意味的・文法的に通常のコンテンツであるため、標準の異常検知システムでは命令を埋め込んだコンテンツを検出できないようにする。

実験結果

リサーチクエスチョン

• RQ1 AIベースのアバター特徴抽出により、ハードコードされた識別子なしにボットはOSN上でボスマスタを信頼性高く特定・通信可能か？
• RQ2 テキストデータ拡張およびハッシュ衝突技術を用いることで、通常のソーシャルメディアコンテンツに命令を埋め込む際、どの程度の疑いを招かないか？
• RQ3 実世界のOSN環境（例：Twitter）において、ボットはどの程度効率的に命令を埋め込んだコンテンツを生成・解釈できるか？
• RQ4 AI駆動のアバター照合とステガノグラフィックコンテンツ解析を用いた場合、命令の回収精度と信頼性はどの程度か？

主な発見

• 提案されたAI駆動C&Cシステムは、Twitter上での命令埋め込みコンテンツを効果的に生成し、意味的に正常で、標準の異常検知手法では検出されないことを確認した。
• 高精度なニューラルネットワーク処理によるアバター特徴照合により、ボットはボスマスタを正確に特定できた。
• ステガノグラフィックに符号化されたコンテンツから命令を高忠実度で抽出でき、ボットとボスマスタ間の信頼性の高い通信が実現した。
• テキストデータ拡張を用いることで、命令埋め込みコンテンツの効率的生成が可能となり、スケーラブルで動的なC&C運用が実現した。
• 静的識別子や明示的な命令構文を使用しないため、逆ルーティング解析による露呈リスクが顕著に低減された。
• ニューラルネットワークとステガノグラフィック技術の組み合わせにより、通常のコンテンツ分析から効果的に検知を回避でき、ボットネット運用のステルス性が向上した。