[论文解读] Realizable Universal Adversarial Perturbations for Malware

Raphael Labaca-Castro, Luis Muñoz-González+4 more|arXiv (Cornell University)|Feb 12, 2021

Advanced Malware Detection Techniques被引用 6

一句话总结

本文提出了一种新颖的方法，通过应用保持恶意功能的同时规避机器学习驱动的恶意软件检测器的**问题空间变换**，生成可实现的通用对抗性扰动（UAPs）用于恶意软件。实验表明，该方法在安卓和Windows恶意软件上均表现出极高的有效性，在白盒攻击中实现约20%的规避率，同时对正常恶意软件检测的影响极小；并提出一种问题空间感知的对抗性训练防御机制，显著降低了针对此类攻击加固模型的成本。

ABSTRACT

Machine learning classifiers are vulnerable to adversarial examples -- input-specific perturbations that manipulate models' output. Universal Adversarial Perturbations (UAPs), which identify noisy patterns that generalize across the input space, allow the attacker to greatly scale up the generation of such examples. Although UAPs have been explored in application domains beyond computer vision, little is known about their properties and implications in the specific context of realizable attacks, such as malware, where attackers must satisfy challenging problem-space constraints. In this paper we explore the challenges and strengths of UAPs in the context of malware classification. We generate sequences of problem-space transformations that induce UAPs in the corresponding feature-space embedding and evaluate their effectiveness across different malware domains. Additionally, we propose adversarial training-based mitigations using knowledge derived from the problem-space transformations, and compare against alternative feature-space defenses. Our experiments limit the effectiveness of a white box Android evasion attack to ~20% at the cost of ~3% TPR at 1% FPR. We additionally show how our method can be adapted to more restrictive domains such as Windows malware. We observe that while adversarial training in the feature space must deal with large and often unconstrained regions, UAPs in the problem space identify specific vulnerabilities that allow us to harden a classifier more effectively, shifting the challenges and associated cost of identifying new universal adversarial transformations back to the attacker.

研究动机与目标

• 探究在真实恶意软件的问题空间中生成通用对抗性扰动（UAPs）的可行性与有效性，其中扰动必须保持功能性和可信度。
• 开发一种贪心算法，生成短序列的问题空间变换，以在特征空间中诱导UAPs，从而实现对基于机器学习的恶意软件检测器的大规模规避。
• 评估线性与非线性分类器（如LR、SVM、DNN、LightGBM）在安卓和Windows恶意软件数据集上对UAP攻击的鲁棒性。
• 提出并验证一种基于问题空间诱导的UAPs的新型对抗性训练防御方法，减少对大量对抗样本生成的需求。
• 通过加固模型以抵御已知变换工具包，将攻击成本重新转移至攻击者，使大规模规避变得不可行。

提出的方法

• 使用贪心算法识别短序列的问题空间变换（如代码混淆、API重排）以在恶意软件的特征空间嵌入中诱导UAPs。
• 该方法将这些变换映射为可泛化于多个恶意软件样本的特征空间扰动，从而实现通用规避。
• 通过问题空间变换管道生成的扰动恶意软件样本进行对抗性训练，而非使用特征空间噪声。
• 通过测量在1%假阳性率（FPR）下的真正例率（TPR）下降程度来评估防御效果，确保对正常恶意软件检测的影响最小。
• 在包括DNN和LightGBM在内的多种分类器上，对安卓（如DREBIN、MaMaDroid）和Windows恶意软件数据集进行验证。
• 分析UAPs在不同模型间的可迁移性，结果表明不同架构对UAPs具有相似的易感性。

实验结果

研究问题

• RQ1 能否在真实恶意软件的问题空间中有效生成并应用通用对抗性扰动（UAPs），同时保持恶意功能？
• RQ2 与特征空间中的输入特定攻击相比，UAPs在恶意软件分类模型上的有效性如何？
• RQ3 与基于特征空间的对抗性训练相比，基于问题空间UAPs的对抗性训练在提升模型鲁棒性方面能有多大程度的改善？
• RQ4 所提出的防御方法如何减少对抗性训练所需的规避样本数量，其对正常恶意软件检测的影响如何？
• RQ5 所提出的方法能否推广至不同恶意软件家族和操作系统（如安卓和Windows）？

主要发现

• 特征空间中的UAPs实现了与输入特定攻击相当的规避率，表明基于机器学习的恶意软件检测器存在系统性漏洞。
• 所提出的贪心变换管道成功生成了功能完整的对抗性恶意软件，可在多种恶意软件家族中以高概率规避检测。
• 白盒规避攻击在1% FPR下实现约20%的规避率，同时仅导致约3%的TPR下降，表明攻击具有强大效力且检测成本极低。
• 使用问题空间诱导的UAPs进行对抗性训练，相比基于特征空间的对抗性训练，能更有效地防御可实现的UAP攻击。
• 非线性模型（如DNN和LightGBM）对问题空间UAPs的鲁棒性优于线性模型（如逻辑回归和SVM）。
• 该防御通过加固模型以抵御已知变换工具包，将负担重新转移至攻击者，显著提高了构建新型规避技术的成本。