[論文レビュー] DeepC2: AI-powered Covert Botnet Command and Control on OSNs.

Zhi Wang, Chaoge Liu+6 more|arXiv (Cornell University)|Sep 16, 2020

Network Security and Intrusion Detection参考文献 30被引用数 4

ひとこと要約

DeepC2 は、オンラインソーシャルネットワーク（OSN）を活用して、ニューラルネットワークを用いて通常のコンテンツに命令を埋め込むことで、AI駆動の隠蔽型コマンドアンドコントロール（C&C）システムを提案する。ハッシュ衝突を用いたテキストデータ拡張により、命令を自然な内容に埋め込み、ボットはアバターに基づく特徴ベクトルを用いてボスマスターオンラインを特定し、インfra構造を露呈させることなく命令を取得できる。この手法は、Twitter上で高いスパイシーさと耐性を示した。

ABSTRACT

Botnets are one of the major threats to computer security. In previous botnet command and control (C&C) scenarios using online social networks (OSNs), methods for addressing (e.g., IDs, links, or DGAs) are hardcoded into bots. Once a bot is reverse engineered, the botmaster and C&C infrastructure will be exposed. Additionally, abnormal content from explicit commands may expose botmasters and raise anomalies on OSNs. To overcome these deficiencies, we propose DeepC2, an AI-powered covert C&C method on OSNs. By leveraging neural networks, bots can find botmasters by avatars, which are converted into feature vectors and embedded into bots. Adversaries cannot derive botmasters' accounts from the vectors. Commands are embedded into normal contents (e.g., tweets and comments) using text data augmentation and hash collision. Experiments on Twitter show that command-embedded contents can be generated efficiently, and bots can find botmasters and obtain commands accurately. Security analysis on different scenarios show that DeepC2 is robust and hard to be shut down. By demonstrating how AI may help promote covert communication on OSNs, this work provides a new perspective on botnet detection and confrontation.

研究の動機と目的

• C&C アドレスをハードコードする従来のボットネットの脆弱性に対処し、逆コンパイルや停止のリスクを低減する。
• ソーシャルメディアのコンテンツに異常または明示的な命令パターンが存在するため、OSN を用いた C&C における検出リスクを軽減する。
• ボスマスターの身元を隠蔽し、検出を回避するための耐性のある、AI ドリブンの C&C 機構を構築する。
• 検出可能性を低く保ちつつ、Twitter などのプラットフォーム上で正確な命令配信を実現する。
• 実世界の OSN 環境において、AI 強化型の隠蔽通信の実現可能性と耐性を実証する。

提案手法

• ボスマスターのプロフィールアバターを固定長の特徴ベクトルに変換するための深層ニューラルネットワークを用い、ボットに埋め込む。
• ボスマスターのアイデンティティを潜在的ベクトルとして表現することで、敵対者が埋め込まれたデータから実際のアカウントを逆コンパイルできないようにする。
• 自然な見た目のソーシャルメディアコンテンツ（例：ツイート、コメント）を生成するためのテキストデータ拡張技術を適用し、命令を滑らかに埋め込む。
• 暗号的ハッシュ衝突技術を用いて、意味を変更せずに意味的に妥当で自然な見た目のテキストに命令をマッピングする。
• ボットがソーシャルメディアコンテンツ内の埋め込みベクトル表現を用いて、ボスマスターを検索・照合するためのボット発見メカニズムを設計する。
• 全パイプラインを Twitter 上で動作可能な実用的な C&C フレームワークに統合し、エンドツーエンドの隠蔽通信を実現する。

実験結果

リサーチクエスチョン

• RQ1 AI 技術を用いて、疑わしげな兆候を示さずに、ボットネットの命令を通常のソーシャルメディアコンテンツに埋め込むことは可能か？
• RQ2 ニューラルネットワークベースのアバター埋め込みは、ボスマスターの身元を逆コンパイルからどれほど効果的に隠蔽できるか？
• RQ3 テキストデータ拡張とハッシュ衝突の組み合わせは、OSN 上で検出不能な命令付きコンテンツを生成するためにどれほど有効か？
• RQ4 コンテンツ分析やネットワーク監視を含むさまざまな敵対的検出シナリオ下でも、C&C システムはどれほど耐性を示すか？
• RQ5 公開されたソーシャルメディア投稿内の埋め込み特徴ベクトルのみを用いて、ボットは信頼性高くボスマスターを特定・通信できるか？

主な発見

• DeepC2 が生成する命令付きコンテンツは、通常のソーシャルメディアコンテンツと区別がつかず、効率的でスパイシーな通信が可能である。
• ボットは、大規模な OSN 環境下でも、埋め込み済みのアバター特徴ベクトルのみを用いて、正確にボスマスターから命令を取得できる。
• 通信フローに明示的な命令や異常パターンが存在しないため、検出に対して高い耐性を示している。
• セキュリティ分析の結果、ボスマスターが隠されており、C&C インfraが逆コンパイルによって露呈されないため、破壊が困難であることが確認された。
• Twitter における実験では、複数の敵対的シナリオ下でも、命令配信の高精度性と低検出可能性を両立していることが示された。
• ニューラルエンベッディングとハッシュ衝突の活用により、既存の OSN プrotocol や構造の変更なしに、スケーラブルかつ安全な命令配信が可能になった。