[论文解读] EvadeDroid: A Practical Evasion Attack on Machine Learning for Black-box Android Malware Detection

Hamid Bostani, Veelasha Moonsamy|arXiv (Cornell University)|Oct 7, 2021

Advanced Malware Detection Techniques被引用 6

一句话总结

EvadeDroid 是一种查询高效的、基于问题空间的对抗性规避攻击方法，可生成能够绕过基于机器学习的黑盒安卓恶意软件检测器的真实世界安卓恶意软件变体。通过利用基于 n-gram 的相似性识别良性源应用，并迭代应用经过优化的可执行转换，该方法仅需 1–9 次查询即可在多种检测器上实现 80–95% 的规避率，同时对商用杀毒引擎保持隐蔽性。

ABSTRACT

Over the last decade, researchers have extensively explored the vulnerabilities of Android malware detectors to adversarial examples through the development of evasion attacks; however, the practicality of these attacks in real-world scenarios remains arguable. The majority of studies have assumed attackers know the details of the target classifiers used for malware detection, while in reality, malicious actors have limited access to the target classifiers. This paper introduces EvadeDroid, a problem-space adversarial attack designed to effectively evade black-box Android malware detectors in real-world scenarios. EvadeDroid constructs a collection of problem-space transformations derived from benign donors that share opcode-level similarity with malware apps by leveraging an n-gram-based approach. These transformations are then used to morph malware instances into benign ones via an iterative and incremental manipulation strategy. The proposed manipulation technique is a query-efficient optimization algorithm that can find and inject optimal sequences of transformations into malware apps. Our empirical evaluations, carried out on 1K malware apps, demonstrate the effectiveness of our approach in generating real-world adversarial examples in both soft- and hard-label settings. Our findings reveal that EvadeDroid can effectively deceive diverse malware detectors that utilize different features with various feature types. Specifically, EvadeDroid achieves evasion rates of 80%-95% against DREBIN, Sec-SVM, ADE-MA, MaMaDroid, and Opcode-SVM with only 1-9 queries. Furthermore, we show that the proposed problem-space adversarial attack is able to preserve its stealthiness against five popular commercial antiviruses with an average of 79% evasion rate, thus demonstrating its feasibility in the real world.

研究动机与目标

• 为解决黑盒安卓恶意软件检测器中实际规避攻击的空白，即攻击者缺乏对目标分类器的了解。
• 开发一种直接在问题空间（即实际 APK 文件）中操作的方法，而非特征空间，以确保生成的对抗性恶意软件可执行且功能正常。
• 在保持恶意软件功能的同时，最小化查询成本和操作开销，以规避学术界和商业界的检测器。
• 通过使用不同分类器和特征类型，评估对抗性样本在多种恶意软件检测系统中的鲁棒性和可重用性。
• 通过仅使用最低可检测性的方法，成功规避学术界和商业杀毒解决方案，证明其在真实世界中的可行性。

提出的方法

• EvadeDroid 通过基于 n-gram 的方法识别与目标恶意软件在操作码级别具有高相似度的良性源应用，构建一组问题空间转换。
• 采用迭代式、增量式操作策略，通过注入一系列保持功能性的转换序列，将恶意软件逐步转化为外观为良性的变体。
• 采用查询高效的优化算法（在算法 1 中形式化为优化问题），根据目标检测器的反馈选择并应用最优转换序列。
• 该方法专注于修改 Dalvik 字节码和应用特征（如权限、操作码）的转换，同时不破坏应用程序的恶意载荷，也不触发静态分析启发式规则。
• 利用程序切片技术识别并提取用于转换的“器官”（代码段），目标是尽可能减少大小增加并保持隐蔽性。
• 该攻击在零知识假设下运行，仅需从黑盒检测器获取标签反馈（如良性/恶意），而无需模型权重或架构信息。

实验结果

研究问题

• RQ1 基于问题空间的对抗性攻击能否在极少查询次数下有效规避黑盒安卓恶意软件检测器？
• RQ2 此类攻击能否在保持恶意软件功能的同时，规避学术界和商业杀毒引擎？
• RQ3 该攻击在使用不同分类器（线性与非线性）和不同特征类型（语法、操作码、语义）的多种恶意软件检测器上的有效性如何？
• RQ4 生成的对抗性样本在不同检测器之间的泛化程度如何，表明其可重用性？
• RQ5 该攻击能否通过避免因大小增加或行为异常而被检测，从而保持隐蔽性？

主要发现

• EvadeDroid 在软标签和硬标签设置下，仅使用 1–9 次查询，即可在五个学术恶意软件检测器（DREBIN、Sec-SVM、ADE-MA、MaMaDroid、Opcode-SVM）上实现 80–95% 的规避率。
• 该攻击在五个商用杀毒引擎上保持平均 79% 的规避率，证明其在真实世界中具备高度隐蔽性和可行性。
• 为某一检测器生成的对抗性样本表现出高度可重用性，可成功规避多个其他检测器，表明其在不同模型间具有强大的泛化能力。
• 该方法在多种特征类型（离散型，如权限；连续型，如操作码序列）和分类器类型（包括基于梯度与非基于梯度的模型）下均表现出鲁棒性。
• 与先前方法相比，该攻击显著降低了查询成本和操作开销，实现了高效、自主的对抗性恶意软件生成。
• 尽管载荷大小有所增加，该攻击对小型恶意软件应用依然有效，但在高流量场景下，若大小增加过大会引发怀疑。