[論文レビュー] Short Paper: Creating Adversarial Malware Examples using Code Insertion.

Daniel Park, Haidar Khan+1 more|arXiv (Cornell University)|Apr 9, 2019

Adversarial Robustness in Machine Learning参考文献 3被引用数 4

ひとこと要約

本論文では、畳み込みニューラルネットワークベースのマルウェア分類器を回避するために、オブスクリュケートされたコードを挿入することで敵対的マルウェアを生成する生成モデルを提案する。機能を保持しながら検出を回避するこの手法は、ホワイトボックス設定で100％、ブラックボックス設定で98％の誤分類を達成し、一般的な防御戦略に対して高い転送性と耐性を示している。

ABSTRACT

There has been an increased interest in the application of convolutional neural networks for image based malware classification, but the susceptibility of neural networks to adversarial examples allows malicious actors to evade classifiers. Adversarial examples are usually generated by adding small perturbations to the input that are unrecognizable to humans, but the same approach is not effective with malware. In general, these perturbations cause changes in the byte sequences that change the initial functionality or result in un-executable binaries. We present a generative model for executable adversarial malware examples using obfuscation that achieves a high misclassification rate, up to 100% and 98% in white-box and black-box settings respectively, and demonstrates transferability. We further evaluate the effectiveness of the proposed method by reporting insignificant change in the evasion rate of our adversarial examples against popular defense strategies.

研究の動機と目的

• ディープラーニングベースのマルウェア分類器がバイナリドメインにおける敵対的例に対して脆弱であるという問題に対処すること。
• 従来の敵対的摂動には、しばしばバイナリ実行可能性を損なうか、機能を変更してしまうという限界があるため、それを克服すること。
• コードのオブスクリュケーションを通じて、マルウェアの機能を維持しながら検出を回避する生成的手法を開発すること。
• 一般的な防御メカニズムに対して、生成された敵対的例の転送性と耐性を評価すること。

提案手法

• 本手法は、正当なバイナリにオブスクリュケートされたコードセグメントを挿入することで、敵対的マルウェアを生成し、元の機能を保持する。
• 分類器を最大限に混乱させるが、バイナリ実行可能性を維持するように学習された生成モデルを用いる。
• ホワイトボックスおよびブラックボックス設定の両方で動作し、ターゲットモデルの挙動に適応する。
• 摂動が意味的に意味を持つようにし、プログラム実行に支障をきたさないよう、オブスクリュケーション技術を活用する。
• ターゲット分類器の誤分類率を最大化するようにモデルを最適化する。
• 同じ敵対的例を異なる未観測モデルでテストすることで、転送性を評価する。

実験結果

リサーチクエスチョン

• RQ1 オブスクリュケーションに基づくコード挿入は、ディープラーニングベースのマルウェア分類器を回避できる敵対的マルウェアを生成できるか？
• RQ2 ホワイトボックスおよびブラックボックス設定において、この手法の誤分類率はどの程度効果的か？
• RQ3 敵対的例は、異なるモデル間でどの程度転送されるか？
• RQ4 生成された敵対的例は、一般的な防御戦略に対してどの程度耐性を示すか？

主な発見

• 提案手法はホワイトボックス設定で100％の誤分類率を達成し、ターゲット分類器の完全な回避を示している。
• ブラックボックス設定では98％の誤分類率を達成しており、強力な一般化能力と高い転送性を示している。
• 挿入されたコードが元の動作を損なわないため、敵対的例は高い機能性と実行可能性を維持している。
• 一般的な防御戦略に対しても誤検出率は著しく低く保たれ、既知の緩和技術に対して耐性があることを示している。
• 従来の摂動ベースのアプローチとは異なり、生成された敵対的例は意味的に妥当で実行可能である。
• 異なるモデル間で転送性が確認されたため、本手法は実世界での悪用可能性を示している。