[論文レビュー] Exposing Weaknesses of Malware Detectors with Explainability-Guided Evasion Attacks

Wei Wang, Ruoxi Sun+5 more|arXiv (Cornell University)|Nov 19, 2021

Adversarial Robustness in Machine Learning参考文献 37被引用数 7

ひとこと要約

本稿では、白ボックスアクセスを必要とせずに最先端のマルウェア検出器を回避するため、特徴空間の操作と問題空間の曇らせを組み合わせた説明可能ガイド付きの回避攻撃を提案する。SHAPを用いた特徴選択により、高い回避成功率を達成し、現在の検出システムにおける広範な脆弱性を露呈する。

ABSTRACT

Numerous open-source and commercial malware detectors are available. However, the efficacy of these tools has been threatened by new adversarial attacks, whereby malware attempts to evade detection using, for example, machine learning techniques. In this work, we design an adversarial evasion attack that relies on both feature-space and problem-space manipulation. It uses explainability-guided feature selection to maximize evasion by identifying the most critical features that impact detection. We then use this attack as a benchmark to evaluate several state-of-the-art malware detectors. We find that (i) state-of-the-art malware detectors are vulnerable to even simple evasion strategies, and they can easily be tricked using off-the-shelf techniques; (ii) feature-space manipulation and problem-space obfuscation can be combined to enable evasion without needing white-box understanding of the detector; (iii) we can use explainability approaches (e.g., SHAP) to guide the feature manipulation and explain how attacks can transfer across multiple detectors. Our findings shed light on the weaknesses of current malware detectors, as well as how they can be improved.

研究の動機と目的

• 最先端のマルウェア検出器が敵対的回避攻撃に対してどれほど脆弱であるかを調査すること。
• SHAPのような説明可能技術を活用して、効果的な特徴操作をガイドするブラックボックス回避攻撃を開発すること。
• 複数のマルウェア検出システム間での回避攻撃の転送性を評価すること。
• 特徴空間と問題空間の曇らせを組み合わせることで、モデルの詳細な知識がなくても検出を回避できるかを評価すること。

提案手法

• 攻撃は、マルウェア検出意思決定に影響を与える最も重要な特徴を特定するためにSHAP（SHapley Additive exPlanations）を用いる。
• 特徴空間の操作は、SHAPによって特定された最も重要な特徴を変更することで、検出確率を最小限に抑える。
• 問題空間の曇らせは、機能に変更を加えずに、入力構造（例：コードレイアウトや制御フロー）を変更することで実施する。
• 攻撃はブラックボックス設定で実行され、ターゲット検出器の内部アーキテクチャやパラメータへのアクセスを一切必要としない。
• 複数の最先端のマルウェア検出器を対象にベンチマークとして評価し、回避成功率と転送性を測定する。
• 攻撃は転送性を備えて設計されており、モデルの詳細な知識がなくても、特徴の重要度のインサイトのみで、多様な検出モデルを回避可能である。

実験結果

リサーチクエスチョン

• RQ1 説明可能ガイド付きの特徴選択技術は、マルウェア検出における回避のための重要な特徴を特定するのにどの程度効果的か？
• RQ2 白ボックスアクセスがなくても、特徴空間の操作と問題空間の曇らせをどの程度効果的に組み合わせて回避を達成できるか？
• RQ3 説明可能技術でガイドされた場合、異なるマルウェア検出器間での回避攻撃の転送性はどの程度か？
• RQ4 このような攻撃は、現在の最先端のマルウェア検出システムに対してどの程度の成功率を示すか？
• RQ5 市販の技術を説明可能ツールと組み合わせることで、最小限のモデル知識で高度な検出器を回避できるか？

主な発見

• 最先端のマルウェア検出器は、詳細なモデル知識がなくても、単純な回避戦略に対して極めて脆弱である。
• 特徴空間の操作と問題空間の曇らせを組み合わせることで、検出器の内部知識がなくても効果的な回避が可能である。
• SHAPのような説明可能手法は、重要な特徴の選定を的確にガイドし、回避成功率を顕著に向上させる。
• 攻撃は複数の検出器間で強く転送可能であり、現在の検出アプローチにシステム的な脆弱性があることを示している。
• 市販の技術を説明可能ツールと組み合わせることで、高度なマルウェア検出器を非常に高い効果で回避できる。
• 本研究の結果は、現在のマルウェア検出器が、説明可能に基づく敵対的変更に対して頑健でないことを強調している。