[論文レビュー] Automatic Generation of Adversarial Examples for Interpreting Malware Classifiers.

Wei Song, Xuezixiang Li+4 more|arXiv (Cornell University)|Mar 6, 2020

Advanced Malware Detection Techniques参考文献 52被引用数 21

ひとこと要約

本稿では、コードランダム化とバイナリ操作を組み合わせることで、実世界のウイルス対策システムを回避する現実的な敵対的マルウェア例を生成するフレームワークを提案する。24.3%〜41.9%のマルウェアサンプルが静的検出器を回避可能であることを実証しており、場合によっては1バイトの変更のみで回避可能であり、一部の静的回避策はオフラインでの動的解析に対しても回避可能であることが判明し、商用ウイルス対策の深刻な脆弱性が露呈された。

ABSTRACT

Recent advances in adversarial attacks have shown that machine learning classifiers based on static analysis are vulnerable to adversarial attacks. However, real-world antivirus systems do not rely only on static classifiers, thus many of these static evasions get detected by dynamic analysis whenever the malware runs. The real question is to what extent these adversarial attacks are actually harmful to the real users? In this paper, we propose a systematic framework to create and evaluate realistic adversarial malware to evade real-world systems. We propose new adversarial attacks against real-world antivirus systems based on code randomization and binary manipulation, and use our framework to perform the attacks on 1000 malware samples and test four commercial antivirus software and two open-source classifiers. We demonstrate that the static detectors of real-world antivirus can be evaded 24.3%-41.9% of the cases and often by changing only one byte. We also find that the adversarial attacks are transferable between different antivirus up to 16% of the cases. We also tested the efficacy of the complete (i.e. static + dynamic) classifiers in protecting users. While most of the commercial antivirus use their dynamic engines to protect the users' device when the static classifiers are evaded, we are the first to demonstrate that for one commercial antivirus, static evasions can also evade the offline dynamic detectors and infect users' machines. Our framework can also help explain which features are responsible for evasion and thus can help improve the robustness of malware detectors.

研究の動機と目的

• 静的分析を超えた現実世界のマルウェア分類器に対する敵対的攻撃の有効性を評価すること。
• 商用ウイルス対策システムにおける静的および動的分析の両方を回避できる、体系的な敵対的マルウェア生成フレームワークを開発すること。
• 静的分類器向けに作成された敵対的例が、動的分析エンジンに対しても回避可能かどうかを調査すること。
• マルウェア分類器の回避に最も寄与する特徴を特定し、検出器の耐性向上に寄与すること。

提案手法

• フレームワークは、1,000個の実際のマルウェアサンプルに対してコードランダム化とバイナリ操作を適用することで、敵対的マルウェアを生成する。
• 生成された敵対的サンプルは、4つの商用ウイルス対策エンジンおよび2つのオープンソース分類器に対して評価される。
• アプローチは、機能を維持しながら検出を回避するために、たった1バイトの変更など最小限のコード変更に焦点を当てる。
• 異なるウイルス対策システム間での敵対的例の転送性は、複数のエンジンで回避成功率を測定することで評価される。
• 特徴の寄与度分析手法を用いて、回避成功に最も寄与するコードレベルの特徴を同定する。

実験結果

リサーチクエスチョン

• RQ1 バイナリ操作を用いて生成された敵対的マルウェアは、どの程度実世界の商用ウイルス対策システムを回避できるか？
• RQ2 静的分析を回避できる敵対的例は、商用ウイルス対策エンジンのオフライン動的分析に対しても回避可能か？
• RQ3 敵対的例は、異なるウイルス対策検出システム間でどの程度転送可能か？
• RQ4 どのコードレベルの特徴がマルウェア分類器の回避を可能にする上で最も影響力を持つか？

主な発見

• 提案された敵対的攻撃は、実世界の商用ウイルス対策システムの静的検出器を24.3%〜41.9%のケースで正常に回避した。
• 一部のケースでは、1バイトの変更のみで検出を回避可能であり、現在の静的分析の脆さが浮き彫りになった。
• 敵対的例は、最大16%のケースで異なるウイルス対策エンジン間で転送性を示した。
• ある商用ウイルス対策製品は、静的分類器が回避された場合でも、そのオフライン動的エンジンがアラートを発動しなかった。
• フレームワークにより、回避に寄与する主要な特徴が同定可能となり、検出器の耐性向上に向けた知見が得られた。