[論文レビュー] Explanation-Guided Backdoor Poisoning Attacks Against Malware Classifiers

Giorgio Severi, Jim Meyer+2 more|arXiv (Cornell University)|Mar 2, 2020

Advanced Malware Detection Techniques参考文献 57被引用数 55

ひとこと要約

本論文は、特徴量ベースのマルウェア分類器に対する説明可能なML主導のバックドアポイズニング攻撃を提示し、PE・PDF・Androidデータセット全体でSHAPベースの特徴量/値選択を用いた効果的なウォーターマークを示し、防御困難性の分析を行う。

ABSTRACT

Training pipelines for machine learning (ML) based malware classification often rely on crowdsourced threat feeds, exposing a natural attack injection point. In this paper, we study the susceptibility of feature-based ML malware classifiers to backdoor poisoning attacks, specifically focusing on challenging "clean label" attacks where attackers do not control the sample labeling process. We propose the use of techniques from explainable machine learning to guide the selection of relevant features and values to create effective backdoor triggers in a model-agnostic fashion. Using multiple reference datasets for malware classification, including Windows PE files, PDFs, and Android applications, we demonstrate effective attacks against a diverse set of machine learning models and evaluate the effect of various constraints imposed on the attacker. To demonstrate the feasibility of our backdoor attacks in practice, we create a watermarking utility for Windows PE files that preserves the binary's functionality, and we leverage similar behavior-preserving alteration methodologies for Android and PDF files. Finally, we experiment with potential defensive strategies and show the difficulties of completely defending against these attacks, especially when the attacks blend in with the legitimate sample distribution.

研究の動機と目的

• クラウドソースの脅威フィードを利用するMLベースのマルウェア分類器の訓練パイプラインにおける自然な攻撃点を強調する。
• SHAPの説明を活用して効果的なウォーターマークを作成する、モデル非依存のバックドア手法を導入する。
• Windows PE、PDF、およびAndroidのマルウェアデータセットで説明付きバックドアの実現可能性を示す。
• 攻撃者の制約を評価し、ステルス性の高いポイズニング攻撃に対する防御困難性を議論する。

提案手法

• SHAPベースの特徴量重要度を用いてウォーターマークの高レバレッジ特徴空間を特定する。
• 善良データ分布内からトリガー値を選択するための3つの値セレクタ（MinPopulation、CountSHAP、CountAbsSHAP）を定義する。
• 2つの攻撃戦略を提案する：Independent Selection（スパース/信頼性の高い領域でレバレッジを最大化）とGreedy Combined Selection（良wareサンプルに基づく意味的に整合したサブスペース）.
• トレーニング時に水印付きの善良サンプルを注入するモデル非依存のバックドアパイプラインを提供し、推論時にバックドア化されたマルウェアのトリガーをテストする。

実験結果

リサーチクエスチョン

• RQ1 説明可能なML技術を用いて、特徴量ベースのマルウェア分類器に対してクリーンラベルのバックドアポイズニングを仕掛けることはできるか。
• RQ2 SHAPの説明が、PE、PDF、Androidなどの異なるファイル形式に対して効果的なバックドアトリガーを作成する際の特徴量と値の選択をどのように導くか。
• RQ3 データアクセス、モデルアクセス、機能上の制約といった攻撃者の制約が、攻撃の効果に与える影響は何か。
• RQ4 説明-guidedバックドアに対する防御戦略は、検出性と頑健性の観点からどう機能するか。

主な発見

モデル	データセット	F1スコア	FPレート	FNレート
LightGBM target	EMBER	0.9861	0.0112	0.0167
EmberNN target	EMBER	0.9911	0.0067	0.0111
Random Forest target	Contagio	0.9977	0.0025	0.0020
Linear SVM target	Drebin	0.9942	0.0026	0.07575

• バックドア攻撃は、複数のモデルとデータセットにおいて、控えめなトリガーサイズで高い成功を達成する（例：LightGBMを用いたEMBERで8特徴量）。
• SHAP主導の特徴量選択により、小さなフットプリントで強力なウォーターマークを実現し、低毒性率（0.25%程度）でも効果的なポイズニングを可能にする。
• Combined戦略は良ware指向の領域と一致させることでよりステルス性の高いウォーターマークを生み出し、一方Independent戦略はより攻撃的だが検出されやすい。
• ニューラルネットワーク（EmberNN）は木構造モデルより耐性が高く、攻撃の有効性はトリガーサイズにより敏感で、毒性率よりも影響を受ける。
• 防御は善ware分布の自然な多様性とトリガーのモデル非依存性のため、ステルス性の高いポイズニングを完全に防御することは依然として困難。
• 転移攻撃（代替モデルを用いてバックドアを作成）は効果は低下するものの非ゼロで、転移シナリオ下の防御の限界を示している。