On deceiving malware classification with section injection: attack and defense using deep neural networks

• Main Author: Silva, Adeilson Antonio da
• Publication Date: 2022
• Format: Master thesis
• Language: eng
• Source: Repositório Institucional da UFBA
• Download full: https://repositorio.ufba.br/handle/ri/36683
• topic: CNPQ::CIENCIAS EXATAS E DA TERRA::CIENCIA DA COMPUTACAO::SISTEMAS DE COMPUTACAO; Redes Neurais; Análise de Malware; Aprendizado de Máquina; Malware (Software); Neural Networks; Malware Analysis; Machine Learning; Malware (Software)

Neste trabalho investigamos como modificar arquivos executáveis de software com o intuito de enganar sistemas automatizados de classificação de malwares. A principal contribuição deste trabalho consiste em uma metodologia para injetar bytes em um arquivo aleatoriamente e utilizar isso como ataque para reduzir a acurácia da classificação, mas também como um método de defesa, aumentando a quantidade de dados disponı́veis durante o treino desses sistemas. A injeção mencionada respeita o formato de arquivos do sistema operacional, de forma a garantir que o malware ainda será executável depois das modificações e não terá seu comportamento modificado. Nós reproduzimos cinco abordagens diferentes do estado da arte para classificação de malwares e avaliamos nosso esquema de injeção de dados: um baseado em GIST+KNN, três variações de CNN e uma Gated CNN. Nossos experimentos foram feitos utilizando um dataset disponı́vel publicamente com 9339 exemplares de malware de 25 famı́lias diferentes. Nossos resultados mostram que um simples aumento de 7% no tamanho do malware pode causar uma diminuição entre 25% e 40% na classificação de famı́lias. Eles mostram também que um sistema automatizado de classificação pode não ser tão confiável quanto inicialmente reportado na literatura. Nós avaliamos também a utilização de malwares modificados em conjunto aos originais para aumentar a robustez da rede contra os ataques mencionados. Os resultados apontam que uma combinação da reordenação das seções dos malwares com a injeção de dados pode resultar em uma melhora no desempenho da classificação. Os códigos utilizados estão disponı́veis em ⟨https://github.com/adeilsonsilva/malware-injection⟩.