[論文レビュー] Deceiving End-to-End Deep Learning Malware Detectors using Adversarial Examples

Felix Kreuk, Assi Barak+4 more|arXiv (Cornell University)|Feb 13, 2018

Adversarial Robustness in Machine Learning参考文献 50被引用数 104

ひとこと要約

この論文は、生のバイナリにペイロードを注入することでエンドツーエンドのCNNマルウェア検出器向けの敵対的サンプルを生成する方法を示し、機能を維持しつつ高い回避率を達成するとともに、ファイル間および位置をまたいだペイロードの転送性を示している。

ABSTRACT

In recent years, deep learning has shown performance breakthroughs in many applications, such as image detection, image segmentation, pose estimation, and speech recognition. However, this comes with a major concern: deep networks have been found to be vulnerable to adversarial examples. Adversarial examples are slightly modified inputs that are intentionally designed to cause a misclassification by the model. In the domains of images and speech, the modifications are so small that they are not seen or heard by humans, but nevertheless greatly affect the classification of the model. Deep learning models have been successfully applied to malware detection. In this domain, generating adversarial examples is not straightforward, as small modifications to the bytes of the file could lead to significant changes in its functionality and validity. We introduce a novel loss function for generating adversarial examples specifically tailored for discrete input sets, such as executable bytes. We modify malicious binaries so that they would be detected as benign, while preserving their original functionality, by injecting a small sequence of bytes (payload) in the binary file. We applied this approach to an end-to-end convolutional deep learning malware detection model and show a high rate of detection evasion. Moreover, we show that our generated payload is robust enough to be transferable within different locations of the same file and across different files, and that its entropy is low and similar to that of benign data sections.

研究の動機と目的

• エンドツーエンドの深層ニューラルネットワークによるマルウェア検出器の敵対的サンプルに対する脆弱性を評価する。
• 埋め込み空間の摂動を介して離散的なバイナリ入力の敵対的サンプルを生成する方法を開発する。
• 注入されたペイロードが複数の位置および異なるマルウェアファイル／ファミリに渡って検出を回避できることを示す。

提案手法

• バイナリをバイト列として表現し、埋め込み行列を介して連続空間に埋め込む。
• FGSM/反復法を用いてZ空間に摂動を加え、benignへ誤分類させる敵対的埋め込みを作成する。
• 各位置で最も近い埋め込みトークンを選択して摂動埋め込みを離散バイトへ再マッピングする。
• 実行可能でないセクションに注入される小さなペイロードへの変更に制限し、ランタイム機能を保つ。
• 元のファイルが検出を回避しつつ実行可能であるよう、ファイル末尾（end-file）および中間位置（mid-file）へのペイロード注入を使用する。

実験結果

リサーチクエスチョン

• RQ1 生のバイナリ上で動作するエンドツーエンドのCNNマルウェア検出器は、埋め込み空間での敵対的摂動によって欺かれることができるか。
• RQ2 バイナリに小さなペイロードを注入することで、機能を保ちながら信号誤分類を確実に引き起こすか。
• RQ3 敵対的ペイロードは異なるファイル間およびファイル内の位置を横断して転送可能か。
• RQ4 ペイロード長が回避能力と検出の頑健性にどう影響するか。

主な発見

• ペイロード長が500〜999バイトのとき、テストセットでの回避率は99.21%（p=2）および98.83%（p=inf）を達成した。
• 非実行セクション（中間ファイルまたはファイル末尾）へのペイロード注入により、バイナリ機能を保持しつつ回避を達成。
• ファイル内の異なる位置に配置した場合、敵対的ペイロードはモデルを欺く（再配置時には100%誤分類）。
• あるファイルで生成されたペイロードは、異なるファイルへ注入された場合75%の転移性を達成。
• 同じペイロードが複数のファイルおよびマルウェアファミリ全体で有効であり、クロスファイル転送性と頑健性を示す。