[论文解读] Exposing Weaknesses of Malware Detectors with Explainability-Guided Evasion Attacks

Wei Wang, Ruoxi Sun+5 more|arXiv (Cornell University)|Nov 19, 2021

Adversarial Robustness in Machine Learning参考文献 37被引用 7

一句话总结

本文提出了一种可解释性引导的逃避攻击，结合特征空间操作与问题空间混淆，无需白盒访问即可绕过最先进的恶意软件检测器。通过利用SHAP进行特征选择，该攻击实现了较高的逃避成功率，揭示了当前检测系统中的广泛漏洞。

ABSTRACT

Numerous open-source and commercial malware detectors are available. However, the efficacy of these tools has been threatened by new adversarial attacks, whereby malware attempts to evade detection using, for example, machine learning techniques. In this work, we design an adversarial evasion attack that relies on both feature-space and problem-space manipulation. It uses explainability-guided feature selection to maximize evasion by identifying the most critical features that impact detection. We then use this attack as a benchmark to evaluate several state-of-the-art malware detectors. We find that (i) state-of-the-art malware detectors are vulnerable to even simple evasion strategies, and they can easily be tricked using off-the-shelf techniques; (ii) feature-space manipulation and problem-space obfuscation can be combined to enable evasion without needing white-box understanding of the detector; (iii) we can use explainability approaches (e.g., SHAP) to guide the feature manipulation and explain how attacks can transfer across multiple detectors. Our findings shed light on the weaknesses of current malware detectors, as well as how they can be improved.

研究动机与目标

• 调查最先进的恶意软件检测器对对抗性逃避攻击的脆弱性。
• 开发一种利用可解释性技术（如SHAP）指导有效特征操作的黑盒逃避攻击。
• 评估逃避攻击在多个恶意软件检测系统之间的可迁移性。
• 评估在无需详细模型知识的情况下，结合特征空间与问题空间混淆在逃避检测方面的有效性。

提出的方法

• 攻击利用SHAP（SHapley Additive exPlanations）识别影响恶意软件检测决策的最关键特征。
• 通过修改SHAP识别出的最关键特征，执行特征空间操作，以最小化检测概率。
• 应用问题空间混淆，改变输入结构（如代码布局或控制流），而不改变其功能。
• 攻击在黑盒设置下执行，无需访问目标检测器的内部架构或参数。
• 将该方法作为基准，在多个最先进的恶意软件检测器上进行评估，以衡量逃避成功率和可迁移性。
• 攻击设计为具备可迁移性，仅依赖特征重要性洞察即可在多种检测模型上实现逃避。

实验结果

研究问题

• RQ1 可解释性引导的特征选择技术在识别恶意软件检测中用于逃避的关键特征方面有多有效？
• RQ2 在无需白盒访问的情况下，特征空间操作与问题空间混淆的结合在多大程度上可实现有效逃避？
• RQ3 当由可解释性方法引导时，逃避攻击在不同恶意软件检测器之间的可迁移性如何？
• RQ4 此类攻击在当前最先进的恶意软件检测系统上的成功率是多少？
• RQ5 当与可解释性工具结合时，现成的技术能否在极少模型知识的前提下绕过高级检测器？

主要发现

• 即使缺乏详细的模型访问权限，最先进的恶意软件检测器也极易受到简单逃避策略的影响。
• 特征空间操作与问题空间混淆的结合，可在无需了解检测器白盒知识的情况下实现有效逃避。
• 可解释性方法（如SHAP）能成功引导关键特征的选择，显著提高逃避成功率。
• 该攻击在多个检测器之间表现出强大的可迁移性，表明当前检测方法存在系统性脆弱性。
• 即使使用现成的技术，只要结合可解释性工具，也能以高效率绕过高级恶意软件检测器。
• 研究结果表明，当前的恶意软件检测器对可解释性驱动的对抗性操作缺乏鲁棒性。