[논문 리뷰] Deceiving End-to-End Deep Learning Malware Detectors using Adversarial Examples

Felix Kreuk, Assi Barak외 4명|arXiv (Cornell University)|2018. 02. 13.

Adversarial Robustness in Machine Learning참고 문헌 50인용 수 104

한 줄 요약

논문은 raw binaries에 payload를 주입하여 end-to-end CNN 악성코드 탐지기를 대상으로 하는 적대적 예제 생성 방법을 보여주고, 기능 보존을 하면서 우회율이 높으며, 파일 및 위치 간 페이로드 전달 가능성을 시연한다.

ABSTRACT

In recent years, deep learning has shown performance breakthroughs in many applications, such as image detection, image segmentation, pose estimation, and speech recognition. However, this comes with a major concern: deep networks have been found to be vulnerable to adversarial examples. Adversarial examples are slightly modified inputs that are intentionally designed to cause a misclassification by the model. In the domains of images and speech, the modifications are so small that they are not seen or heard by humans, but nevertheless greatly affect the classification of the model. Deep learning models have been successfully applied to malware detection. In this domain, generating adversarial examples is not straightforward, as small modifications to the bytes of the file could lead to significant changes in its functionality and validity. We introduce a novel loss function for generating adversarial examples specifically tailored for discrete input sets, such as executable bytes. We modify malicious binaries so that they would be detected as benign, while preserving their original functionality, by injecting a small sequence of bytes (payload) in the binary file. We applied this approach to an end-to-end convolutional deep learning malware detection model and show a high rate of detection evasion. Moreover, we show that our generated payload is robust enough to be transferable within different locations of the same file and across different files, and that its entropy is low and similar to that of benign data sections.

연구 동기 및 목표

• 엔드-투-엔드 심층 신경망 악성코드 탐지기가 적대적 예제에 취약한지 평가한다.
• 임베딩 공간 섭동을 통해 이산 이진 입력에 대한 적대적 예제를 생성하는 방법을 개발한다.
• 주입된 페이로드가 여러 위치와 서로 다른 악성코드 파일/가족 간에 탐지를 회피할 수 있음을 보여준다.

제안 방법

• 바이너리를 바이트 시퀀스로 표현하고 임베딩 행렬을 통해 연속 공간에 임베딩한다.
• FGSM/반복적 방법을 사용해 Z 공간에 섭동을 더하여 악의가 아닌 것으로 잘못 분류되도록 적대적 임베딩을 구성한다.
• 각 위치에 대해 가장 가까운 임베딩 토큰을 선택하여 섭동된 임베딩을 이산 바이트로 매핑한다.
• 런타임 기능 보존을 위해 비실행 섹션에 주입된 소량의 페이로드로 수정 범위를 제약한다.
• 원본 파일이 탐지를 피하면서도 실행 가능한 상태를 유지하도록 end-file 및 mid-file 페이로드 주입을 사용한다.

실험 결과

연구 질문

• RQ1 원시 이진 파일에서 작동하는 엔드투엔드 CNN 악성코드 탐지기가 임베딩 공간의 적대적 섭동에 의해 속을 수 있는가?
• RQ2 이진 파일에 소량의 페이로드를 주입하는 것이 기능을 보존하면서 신뢰할 수 있게 잘못 분류시키는가?
• RQ3 적대적 페이로드가 서로 다른 파일 간 및 파일 내 위치 간에 전달 가능한가?
• RQ4 페이로드 길이가 회피 능력과 탐지 강건성에 어떤 영향을 미치는가?

주요 결과

• 테스트 세트에서 페이로드 길이가 500~999 바이트일 때 회피율은 99.21% (p=2) 및 98.83% (p=inf)이다.
• 비실행 섹션(중간 파일 또는 파일 끝)에 페이로드를 주입하여 이진 기능을 보존하면서 회피를 달성했다.
• 다른 위치에 배치될 때도 적대적 페이로드가 모델을 속일 수 있으며(재배치 시 100% 잘못 분류).
• 하나의 파일에 대해 생성된 페이로드가 다른 파일에 주입되었을 때 75% 전달성을 달성했다.
• 동일한 페이로드가 다수의 파일 및 악성코드 가족에 걸쳐 효과적일 수 있어 파일 간 전달성 및 강건성을 시사한다.