[논문 리뷰] Explanation-Guided Backdoor Poisoning Attacks Against Malware Classifiers

Giorgio Severi, Jim Meyer외 2명|arXiv (Cornell University)|2020. 03. 02.

Advanced Malware Detection Techniques참고 문헌 57인용 수 55

한 줄 요약

이 논문은 SHAP 기반 특징/값 선택을 통해 PE, PDF, Android 데이터셋 전반에서 효과적인 워터마크를 보이는 설명가능한 ML 주도 백도어 중독 공격을 malware 분류기에 대해 제시하며, 방어의 어려움을 분석한다.

ABSTRACT

Training pipelines for machine learning (ML) based malware classification often rely on crowdsourced threat feeds, exposing a natural attack injection point. In this paper, we study the susceptibility of feature-based ML malware classifiers to backdoor poisoning attacks, specifically focusing on challenging "clean label" attacks where attackers do not control the sample labeling process. We propose the use of techniques from explainable machine learning to guide the selection of relevant features and values to create effective backdoor triggers in a model-agnostic fashion. Using multiple reference datasets for malware classification, including Windows PE files, PDFs, and Android applications, we demonstrate effective attacks against a diverse set of machine learning models and evaluate the effect of various constraints imposed on the attacker. To demonstrate the feasibility of our backdoor attacks in practice, we create a watermarking utility for Windows PE files that preserves the binary's functionality, and we leverage similar behavior-preserving alteration methodologies for Android and PDF files. Finally, we experiment with potential defensive strategies and show the difficulties of completely defending against these attacks, especially when the attacks blend in with the legitimate sample distribution.

연구 동기 및 목표

• crowd-sourced threat feeds를 사용하는 ML 기반 악성코드 분류기의 학습 파이프라인에서 자연스러운 공격 포인트를 강조한다.
• SHAP 설명을 활용한 모델 무관적 백도어 방법론을 도입하여 효과적인 워터마크를 설계한다.
• Windows PE, PDF, Android 악성코드 데이터세트에서 설명 guided 백도어의 타당성을 입증한다.
• 공격자 제약 조건을 평가하고 은밀한 독성 공격에 대한 방어의 어려움을 논의한다.

제안 방법

• SHAP 기반 특징 중요도를 사용하여 워터마크를 위한 고-레버리지 특징 부분공간을 식별한다.
• Benign 데이터 분포 내에서 트리거 값을 선택하기 위한 세 가지 값 선택자(MinPopulation, CountSHAP, CountAbsSHAP)를 정의한다.
• 두 가지 공격 전략을 제안한다: Independent Selection(희소/자신감 있는 영역에서 레버리지를 극대화)와 Greedy Combined Selection(우호소프트웨어 샘플에 기반한 의미적으로 일관된 부분공간)
• 학습 중 워터마이크 샘플을 주입하고 추론 시 백도어가 된 악성코드에서 트리거를 테스트하는 모델 무관적 백도어 파이프라인을 제공한다.

실험 결과

연구 질문

• RQ1 설명가능한 ML 기법을 사용하여 특징 기반 악성코드 분류기에 clean-label 백도어 중독이 가해질 수 있는가?
• RQ2 SHAP 설명이 서로 다른 파일 형식(PE, PDF, Android)에서 효과적인 백도어 트리거를 만들기 위한 특징 및 값 선택에 어떻게 가이드를 제공하는가?
• RQ3 데이터 접근성, 모델 접근성, 기능적 제약 등의 공격자 제약이 공격 효과성에 어떤 영향이 있는가?
• RQ4 설명 guided 백도어에 대한 방어 전략은 탐지성 및 강건성 측면에서 얼마나 효과적인가?

주요 결과

모델	데이터셋	F1 점수	FP 비율	FN 비율
LightGBM target	EMBER	0.9861	0.0112	0.0167
EmberNN target	EMBER	0.9911	0.0067	0.0111
Random Forest target	Contagio	0.9977	0.0025	0.0020
Linear SVM target	Drebin	0.9942	0.0026	0.07575

• 다중 모델과 데이터세트에서 백도어 공격이 비교적 작은 트리거 크기(예: EMBER에서 LightGBM으로 8개 특징)로도 높은 성공률을 달성한다.
• SHAP 주도 특징 선택은 소형 발자국으로도 강력한 워터마크를 가능하게 하여 낮은 독성 비율(0.25%만큼도 낮게)에서 효과적인 중독을 가능하게 한다.
• 복합 전략은 goodware 지향 영역과의 정렬을 통해 은밀한 워터마크를 만들어내고, 독립 전략은 더 공격적이지만 탐지하기 쉽다.
• 신경망(EmberNN)은 트리 기반 모델보다 더 높은 회복력을 보이며, 공격 효과성은 트리거 크기보다 독성 비율에 더 민감하다.
• 좋은ware 분포의 자연스러운 다양성과 트리거의 모델 무관성 특성으로 인해 은밀한 중독에 대해 완전히 방어하기는 여전히 도전적이다.
• 전달 공격(대리 모델을 사용해 백도어를 설계하는 방법)은 효과가 줄어들고 여전히 0이 아닌 효과를 보이므로 전이 시나리오에서 방어 한계가 있음을 강조한다.