[论文解读] Darwin inside the machines: Malware evolution and the consequences for computer security

Dimitris Iliopoulos, Christoph Adami+1 more|arXiv (Cornell University)|Nov 10, 2011

Cellular Automata and Applications参考文献 19被引用 15

一句话总结

本文提出了一套理论框架，用于描述通过达尔文进化原理（突变、选择与适应）演化的恶意软件，使其能够自主改变行为，而不仅仅是进行代码混淆。通过将恶意软件建模为类似于生物有机体的演化系统，作者展示了未来恶意软件如何在无需人工重新编程的情况下适应新防御机制，从根本上挑战了当前基于签名检测和静态分析的安全范式。

ABSTRACT

Recent advances in anti-malware technologies have steered the security industry away from maintaining vast signature databases and into newer defence technologies such as behaviour blocking, application whitelisting and others. Most would agree that the reasoning behind this is to keep up with the arms race established between malware writers and the security community almost three decades ago. Still, malware writers have not as yet created new paradigms. Indeed, malicious code development is still largely limited to code pattern changes utilizing polymorphic and metamorphic engines, as well as executable packer and wrapper technologies. Each new malware instance retains the exact same core functionality as its ancestor and only alters the way it looks. What if, instead, malware were able to change its function or behaviour autonomously? What if, in the absence of human intervention, computer viruses resembled biological viruses in their ability to adapt to new defence technologies as soon as they came into effect? In this paper, we will provide the theoretical proof behind malware implementation that closely models Darwinian evolution.

研究动机与目标

• 探究恶意软件是否能够通过突变和选择自主演化，类似于生物进化。
• 挑战恶意软件演化仅限于代码混淆（如多态性）的假设，探索功能适应作为新范式的可能性。
• 证明恶意软件在无须人工干预的情况下，能够根据防御技术改变行为的理论可行性。
• 分析此类自适应恶意软件对现有计算机安全防御体系的影响，特别是基于签名和行为分析的系统。

提出的方法

• 使用进化生物学和计算理论原则，对恶意软件演化进行理论建模。
• 将现代进化理论综合体系适配至计算机系统，将软件视为基因型，行为视为表型。
• 使用遗传算法和突变算子，模拟恶意软件行为的演化变化。
• 将选择压力形式化为防御机制（如防火墙、沙箱）的存在，这些机制会筛选掉非适应性变体。
• 在受控环境中模拟演化动态，仅允许功能性适应的恶意软件存活。
• 应用适应度函数，奖励在检测机制面前具备隐蔽性、规避能力和持久性的行为。

实验结果

研究问题

• RQ1 恶意软件能否通过突变和选择自主演化行为，而无需人工重新编程？
• RQ2 何种机制可使恶意软件实时适应新型防御技术？
• RQ3 与当前的多态或变形恶意软件相比，此类自适应恶意软件在检测与缓解方面有何不同？
• RQ4 自演化恶意软件对基于签名或静态分析的现有安全架构有何影响？
• RQ5 演化原则在软件系统中能在多大程度上被正式建模，以模拟自适应恶意行为？

主要发现

• 理论模型证实，恶意软件可通过突变和选择演化，导致行为上的适应性改变，而不仅仅是代码层面的混淆。
• 具备功能适应能力的恶意软件可通过根据防御机制改变行为，绕过基于签名的检测。
• 该模型表明，安全工具施加的演化压力可推动更坚韧、更隐蔽的恶意软件变种出现。
• 依赖静态分析或签名检测的现有防御策略，对能够动态改变行为的恶意软件根本无能为力。
• 本研究揭示，恶意软件与安全工具之间的军备竞赛可能从代码混淆转向行为适应，从而要求建立新的防御范式。