[論文レビュー] EvadeDroid: A Practical Evasion Attack on Machine Learning for Black-box Android Malware Detection

Hamid Bostani, Veelasha Moonsamy|arXiv (Cornell University)|Oct 7, 2021

Advanced Malware Detection Techniques被引用数 6

ひとこと要約

EvadeDroid は、ブラックボックス機械学習ベースのマルウェア検出器を効果的に回避できる、クエリ効率的で問題空間アプローチの悪意ある回避攻撃である。n-gramに基づく類似度を用いて健全なドナー・アプリを特定し、最適化された実行可能変換を繰り返し適用することで、1～9回のクエリで多様な検出器に対して80～95％の回避率を達成する。商用アンチウイルスエンジンに対しても、不審な兆候をほとんど示さない静かさを維持している。

ABSTRACT

Over the last decade, researchers have extensively explored the vulnerabilities of Android malware detectors to adversarial examples through the development of evasion attacks; however, the practicality of these attacks in real-world scenarios remains arguable. The majority of studies have assumed attackers know the details of the target classifiers used for malware detection, while in reality, malicious actors have limited access to the target classifiers. This paper introduces EvadeDroid, a problem-space adversarial attack designed to effectively evade black-box Android malware detectors in real-world scenarios. EvadeDroid constructs a collection of problem-space transformations derived from benign donors that share opcode-level similarity with malware apps by leveraging an n-gram-based approach. These transformations are then used to morph malware instances into benign ones via an iterative and incremental manipulation strategy. The proposed manipulation technique is a query-efficient optimization algorithm that can find and inject optimal sequences of transformations into malware apps. Our empirical evaluations, carried out on 1K malware apps, demonstrate the effectiveness of our approach in generating real-world adversarial examples in both soft- and hard-label settings. Our findings reveal that EvadeDroid can effectively deceive diverse malware detectors that utilize different features with various feature types. Specifically, EvadeDroid achieves evasion rates of 80%-95% against DREBIN, Sec-SVM, ADE-MA, MaMaDroid, and Opcode-SVM with only 1-9 queries. Furthermore, we show that the proposed problem-space adversarial attack is able to preserve its stealthiness against five popular commercial antiviruses with an average of 79% evasion rate, thus demonstrating its feasibility in the real world.

研究の動機と目的

• 攻撃者がターゲット分類器の詳細を知らないブラックボックス Android マルウェア検出器に対する実用的回避攻撃のギャップを埋める。
• 特徴空間ではなく、実際の APK に直接作用する問題空間で動作する手法を開発し、実行可能で機能的な悪意あるマルウェアを保証する。
• クエリコストと操作の負荷を最小限に抑えながら、マルウェアの機能を維持し、学術的および商業的検出器を回避する。
• 異なる分類器や特徴タイプを用いた多様なマルウェア検出システムにおいて、悪意ある例の耐性および再利用可能性を評価する。
• 最小限の検出可能性で、学術的および商業的アンチウイルスソリューションを回避することで、実世界の実現可能性を示す。

提案手法

• EvadeDroid は、n-gramに基づくアプローチを用いて、ターゲットマルウェアとオペコードレベルで類似度の高い健全なドナー・アプリを特定し、問題空間の変換セットを構築する。
• 機能を保持したままマルウェアを健全な見た目の変種に変換するため、反復的かつ段階的な操作戦略を採用する。
• ターゲット検出器からのフィードバックに基づき、最適な変換シーケンスを選択・適用するクエリ効率的最適化アルゴリズム（アルゴリズム1で定式化）を用いる。
• アプリの悪意あるペイロードを破壊せず、静的解析のヒューリスティクスを引き起こさない範囲で、ダリビク・バイトコードおよびアプリの特徴（例：権限、オペコード）を変更する変換に焦点を当てる。
• プログラムスライシングを活用して変換対象の「臓器」（コードセグメント）を特定・抽出し、サイズの増加を最小限に抑え、静かさを維持する。
• ゼロ知識仮定の下で動作し、モデルの重みやアーキテクチャを必要とせず、ブラックボックス検出器からのラベルフィードバック（例：健全／悪意あり）のみを必要とする。

実験結果

リサーチクエスチョン

• RQ1 問題空間アプローチの悪意ある攻撃は、最小限のクエリでブラックボックス Android マルウェア検出器を効果的に回避できるか？
• RQ2 このような攻撃は、マルウェアの悪意ある機能を保持しつつ、学術的および商業的アンチウイルスエンジンを回避できるか？
• RQ3 異なる分類器（線形対非線形）および特徴タイプ（構文、オペコード、意味論）を用いたマルウェア検出器において、攻撃の有効性はどの程度か？
• RQ4 生成された悪意ある例は、異なる検出器間でどの程度一般化可能か（再利用可能性を示す）？
• RQ5 サイズの増加や動作上の不審な兆候を避けることで、攻撃が静かさを維持できるか？

主な発見

• EvadeDroid は、5つの学術的マルウェア検出器（DREBIN, Sec-SVM, ADE-MA, MaMaDroid, Opcode-SVM）に対して、ソフトラベルおよびハードラベルの両設定で1～9回のクエリで80～95％の回避率を達成した。
• 5つの商用アンチウイルスエンジンに対して平均79％の回避率を維持しており、実世界での静かさと実現可能性を示している。
• 1つの検出器で生成された悪意ある例は、他の複数の検出器に対しても効果的に回避でき、異なるモデル間での強い一般化性を示している。
• 離散的（権限）および連続的（オペコードシーケンス）な特徴タイプ、勾配に基づくおよび非勾配に基づく両方の分類器に対して、この手法は頑健である。
• 従来の手法と比較して、クエリコストと操作の負荷を顕著に低減し、効率的かつ自律的な悪意あるマルウェア生成を可能にした。
• 一部のペイロードサイズの増加が見られたが、攻撃は小さなマルウェアアプリに対しても効果的であり、高トラフィック環境ではサイズの増加が懸念される可能性があるが、依然として有効である。