[論文レビュー] Optimization-Guided Binary Diversification to Mislead Neural Networks for Malware Detection

Mahmood Sharif, Keane Lucas+3 more|arXiv (Cornell University)|Dec 19, 2019

Advanced Malware Detection Techniques参考文献 84被引用数 14

ひとこと要約

本論文では、機能的命令を変更することで、機能を保持したまま深層ニューラルネットワーク（DNN）ベースのマルウェア検出器を回避する最適化誘導型バイナリ多様化攻撃を提案する。この手法は、ホワイトボックスおよびブラックボックス設定でほぼ100％の回避成功率を達成し、商用アンチウイルスソフトウェアに対しても85％のケースで欺瞞をかける。これは、DNNベースの検出システムにおける深刻な脆弱性を示している。

ABSTRACT

Motivated by the transformative impact of deep neural networks (DNNs) on different areas (e.g., image and speech recognition), researchers and anti-virus vendors are proposing end-to-end DNNs for malware detection from raw bytes that do not require manual feature engineering. Given the security sensitivity of the task that these DNNs aim to solve, it is important to assess their susceptibility to evasion. In this work, we propose an attack that guides binary-diversification tools via optimization to mislead DNNs for malware detection while preserving the functionality of binaries. Unlike previous attacks on such DNNs, ours manipulates instructions that are a functional part of the binary, which makes it particularly challenging to defend against. We evaluated our attack against three DNNs in white-box and black-box settings, and found that it can often achieve success rates near 100%. Moreover, we found that our attack can fool some commercial anti-viruses, in certain cases with a success rate of 85%. We explored several defenses, both new and old, and identified some that can successfully prevent over 80% of our evasion attempts. However, these defenses may still be susceptible to evasion by adaptive attackers, and so we advocate for augmenting malware-detection systems with methods that do not rely on machine learning.

研究の動機と目的

• 深層ニューラルネットワーク（DNN）ベースのマルウェア検出器が、バイナリの機能を保持する攻撃に対してどれほど脆弱であるかを調査すること。
• 悪意のないコードや非本質的コードではなく、機能的命令を操作することで、検出を回避しながらもプログラムの動作を維持する攻撃を開発すること。
• ホワイトボックスおよびブラックボックス設定、さらには実世界の商用アンチウイルスシステムを含めた環境下で、攻撃の有効性を評価すること。
• 提案された攻撃に対して、既存および新規の防御策の耐性を評価し、現在の防御戦略における限界を特定すること。
• 機械学習に依存するマルウェア検出システムの見直しが必要であることを提唱すること。これは、適応的で敵対的な攻撃に対して根本的に脆弱であるため。

提案手法

• 機械語における命令レベルの変更をモデル化するため、微分可能バイナリ表現を活用し、勾配ベースの最適化を可能にする。
• 勾配誘導型最適化プロセスを用いて、DNNの誤分類を最大化すると同時に、機能的正しさを保持するバイナリ変更を生成する。
• 変更されたバイナリがテストケース全体で元の動作を保持していることを検証するため、機能的同等性チェッカーを適用する。
• 敵対的損失（DNNを欺くため）と機能的類似度損失（プログラム動作を維持するため）を組み合わせた損失関数を採用する。
• 最適化された命令レベル変換（例：命令の再順序化、意味的に同等のオペコードへの置換）を適用するバイナリ多様化エンジンを統合する。
• マルウェア検出のための3つの異なるDNNアーキテクチャを用いて、ホワイトボックス（モデルへの完全なアクセス）およびブラックボックス（クエリベース）設定の両方で攻撃を評価する。

実験結果

リサーチクエスチョン

• RQ1 機能的命令レベルの変更は、プログラム動作を変更せずにDNNベースのマルウェア検出器を回避できるか？
• RQ2 提案された最適化誘導型攻撃は、先行する回避技術と比較して、ホワイトボックスおよびブラックボックス設定でどれほど有効であるか？
• RQ3 DNNまたはシグネチャベースの検出に訓練された商用アンチウイルスソリューションは、この攻撃をどの程度回避できるか？
• RQ4 既存および新規の防御策は、この種の命令レベルの敵対的摂動に対してどれほど効果的か？
• RQ5 適応的で機能的命令に基づく攻撃に直面した場合、現在の防御メカニズムの限界は何か？

主な発見

• 提案された攻撃は、3つのDNNモデルに対してホワイトボックスおよびブラックボックス評価の両方で、ほぼ100％の回避成功率を達成した。
• 攻撃は、テストされたケースの85％で商用アンチウイルスソフトウェアを効果的に回避し、実世界での実用性を示した。
• 入力変換や異常検出に依存する防御策は、80％以上の回避試行をブロックできたが、適応的攻撃者に対しては依然として脆弱であった。
• 攻撃の成功は、機能的命令のみを変更していることに起因し、従来の静的解析やヒューリスティックベースの防御では検出が困難である。
• 強力な防御が施された状況でも、攻撃の高い成功率は、機械学習ベースのマルウェア検出システムが洗練された敵対的操作に対して根本的に脆弱であることを示唆している。
• これらの結果は、マルウェア検出のようなセキュリティが重要なシステムにおいて、機械学習への依存を再考する必要があることを強調している。