Tiểu luận về phương pháp phát sinh mã độc độc đối kháng với trình phát hiện mã độc tổng hợp

Chuyên khảo phân tích Tiểu luận nghiên cứu phương pháp phát sinh mẫu mã độc đối kháng chống lại trình phát hiện mã độc, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên cứu

• Tác giả: Tô Trọng Nghĩa
• Người hướng dẫn: TS. Nguyễn Tấn Cầm
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Nghiên cứu phương pháp phát sinh mã độc chống phát hiện hiệu quả
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: TP. Hồ Chí Minh

Tóm tắt

I. Tổng quan

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, việc phát sinh mã độc chống phát hiện hiệu quả là một thách thức lớn. Nghiên cứu này tập trung vào việc phát sinh mã độc thông qua các phương pháp học máy, đặc biệt là mô hình GANs và học tăng cường. Mục tiêu chính là tạo ra các mẫu mã độc có khả năng lẩn tránh các hệ thống phát hiện mã độc hiện tại. Việc này không chỉ giúp nâng cao khả năng bảo mật mà còn mở ra hướng đi mới cho các nghiên cứu trong lĩnh vực an ninh mạng.

1.1 Tóm tắt bài toán

Phần mềm độc hại (Malware) đã trở thành một trong những mối đe dọa lớn nhất đối với an ninh mạng. Các cuộc tấn công từ mã độc không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của các tổ chức. Nghiên cứu này nhằm phát sinh mã độc có khả năng lẩn tránh các hệ thống phát hiện, từ đó nâng cao hiệu quả của các phương pháp bảo mật hiện tại. Việc sử dụng mô hình GANs trong việc phát sinh mã độc đã cho thấy tiềm năng lớn trong việc tạo ra các mẫu mã độc tinh vi, khó phát hiện.

1.2 Tính ứng dụng

Nghiên cứu này có thể được ứng dụng trong việc phát triển các công cụ bảo mật mạnh mẽ hơn. Việc phát sinh mã độc chống phát hiện sẽ giúp các nhà nghiên cứu và chuyên gia an ninh mạng hiểu rõ hơn về cách thức hoạt động của mã độc và từ đó phát triển các biện pháp phòng ngừa hiệu quả hơn. Hệ thống được đề xuất không chỉ giúp cải thiện khả năng lẩn tránh mà còn đảm bảo tính độc hại của mã độc trong các tình huống thực tế.

II. Các nghiên cứu liên quan

Nghiên cứu về mã độc và các phương pháp phát hiện đã được thực hiện rộng rãi trong những năm qua. Các công trình nghiên cứu đã chỉ ra rằng việc sử dụng các mô hình học máy, đặc biệt là GANs, có thể tạo ra các mẫu mã độc có khả năng lẩn tránh cao. Tuy nhiên, vẫn còn nhiều thách thức trong việc duy trì tính độc hại và khả năng thực thi của mã độc. Các nghiên cứu trước đây đã chỉ ra rằng việc phát sinh mã độc cần phải đảm bảo ba yếu tố: định dạng, khả năng thực thi và tính độc hại.

2.1 Các công trình liên quan

Nhiều nghiên cứu đã chỉ ra rằng các mô hình như MalGAN và Improved-MalGAN có thể tạo ra các mẫu mã độc có khả năng lẩn tránh tốt. Tuy nhiên, những mô hình này vẫn gặp khó khăn trong việc duy trì tính độc hại của mã độc. GAPGAN là một trong những mô hình mới nhất, cho thấy khả năng tấn công thành công cao nhưng vẫn cần cải thiện để đảm bảo tính độc hại của mã độc. Nghiên cứu này sẽ xây dựng trên nền tảng của các mô hình này để phát triển một hệ thống mới.

2.2 Cơ sở lý thuyết

Cơ sở lý thuyết của nghiên cứu này dựa trên các khái niệm về học máy và học sâu. Việc sử dụng GANs trong phát sinh mã độc đã cho thấy tiềm năng lớn trong việc tạo ra các mẫu mã độc tinh vi. Hệ thống học tăng cường cũng được áp dụng để cải thiện khả năng lẩn tránh của mã độc. Các nghiên cứu trước đây đã chỉ ra rằng việc kết hợp nhiều phương pháp học có thể nâng cao hiệu quả của các mẫu mã độc.

III. Phương pháp phát sinh mã độc

Phương pháp phát sinh mã độc trong nghiên cứu này bao gồm việc sử dụng mô hình FeaGAN kết hợp với học tăng cường. Mô hình FeaGAN được phát triển dựa trên các nghiên cứu trước đó và được tối ưu hóa để tạo ra các mẫu mã độc có khả năng lẩn tránh cao. Học tăng cường sẽ giúp cải thiện khả năng thực thi và tính độc hại của mã độc. Quá trình huấn luyện sẽ được thực hiện trong môi trường an toàn để đảm bảo tính hiệu quả của các mẫu được phát sinh.

3.1 Mô hình hóa mối đe dọa

Mô hình hóa mối đe dọa là bước quan trọng trong việc phát sinh mã độc. Nghiên cứu này sẽ xác định các yếu tố cần thiết để đảm bảo rằng mã độc được phát sinh không chỉ có khả năng lẩn tránh mà còn đảm bảo tính độc hại. Việc này sẽ giúp các nhà nghiên cứu hiểu rõ hơn về cách thức hoạt động của mã độc và từ đó phát triển các biện pháp phòng ngừa hiệu quả hơn.

3.2 Chi tiết phương pháp tạo mã độc

Chi tiết phương pháp tạo mã độc sẽ được trình bày rõ ràng trong nghiên cứu này. Mô hình FeaGAN sẽ được sử dụng để phát sinh các mẫu mã độc có khả năng lẩn tránh cao. Học tăng cường sẽ được áp dụng để tối ưu hóa quá trình phát sinh, đảm bảo rằng các mẫu mã độc không chỉ lẩn tránh mà còn duy trì tính độc hại. Quá trình này sẽ được thực hiện trong môi trường an toàn để đảm bảo tính hiệu quả của các mẫu được phát sinh.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu tổng quan về khóa luận. • Chương 2: Trình bày cơ sở lý thuyết, kiến thức nền tảng và các nghiên cứu liên quan tới đề tài. • Chương 3: Mô hình hóa mối đe dọa và trình bày tổng quan, chi tiết về hệ thống đề xuất. • Chương 4: Trình bày môi trường thực nghiệm, tập dữ liệu, phương pháp đánh giá và kết quả thực nghiệm.

• Chương 5: Kết luận và hướng phát triển của khóa luận. 6 Chương 2 CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT Tóm tắt chương Trong chương này, nhóm chúng tôi sẽ trình bày các công trình liên quan và một số kiến thức nền tảng, cơ sở có liên quan đến đề tài nghiên cứu.1 Các công trình liên quan Có ba thách thức trong việc duy trì ngữ nghĩa của phần mềm PE độc hại đối kháng đối với các cuộc tấn công đối kháng trong thực tế chống lại sự phát hiện các phần mềm PE độc hại mà những kẻ tấn công phải lưu ý: bảo toàn định dạng, bảo toàn khả năng thực thi và bảo toàn độc hại [2]. CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT HÌNH 2.1: Ba thách thức trong việc duy trì ngữ nghĩa của phần mềm PE độc hại đối kháng Không giống như hình ảnh, âm thanh hoặc thậm chí văn bản, phần mềm PE độc hại phải tuân theo các quy tắc định dạng nghiêm ngặt của tệp PE. Do đó, đối với các tệp PE, các phép biến đổi trong không gian vấn đề của chúng nên được xác định theo định dạng yêu cầu.

Tuy nhiên, ngay cả khi chúng ta đảm bảo định dạng của tệp , chúng ta cũng không thể đảm bảo rằng chúng ta có thể giữ khả năng thực thi cho tệp PE và tính độc hại ban đầu đối với phần mềm PE độc hại. Hu và Tan [9] đã giới thiệu mô hình MalGAN để tạo các mẫu phần mềm độc hại PE có khả năng vượt qua trình Phát hiện dựa trên danh sách gọi API. MalGAN giả định rằng kẻ tấn công biết không gian tính năng hoàn chỉnh của trình Phát hiện phần mềm độc hại mục tiêu. MalGAN cố gắng xây dựng một trình Phát hiện thay thế sao cho giống với trình Phát hiện phần mềm độc hại hộp đen mục tiêu nhất có thể và sau đó đào tạo một trình Tạo sinh để giảm thiểu xác suất độc hại của phần mềm độc hại đối nghịch được tạo ra được dự đoán từ trình Phát hiện thay thế bằng cách thêm một số lệnh gọi API không liên quan vào mẫu phần mềm độc hại ban đầu.

Trong một nghiên cứu khác, Kawai và cộng sự [10] đã tìm thấy một số vấn đề từ quan điểm thực tế và đề xuất một mô hình cải tiến từ MalGAN có tên là Improved-MalGAN. Ví dụ, Improved-MalGAN sử dụng các danh sách gọi API khác nhau trong quá trình đào tạo MalGAN và trình Phát hiện mã độc, trong khi MalGAN ban đầu đào tạo với cùng một danh sách gọi API. Họ cũng cho rằng việc tạo ra các mẫu đối kháng chỉ nên được thực hiện trên một phần mềm độc hại, điều này sẽ hiệu quả hơn việc đào tạo về nhiều phần mềm độc hại. CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT Vào năm 2020, Yuan và cộng sự giới thiệu GAPGAN [11], một bộ khung mới tấn công đối kháng hộp đen dựa trên GAN được thực hiện ở cấp độ byte để chống lại phát hiện phần mềm độc hại dựa trên học sâu, cụ thể là MalConv.

GAPGAN đầu tiên đào tạo đồng thời trình Tạo sinh và trình Phân biệt, trong đó trình Tạo sinh dự định tạo các trọng tải đối kháng được thêm vào cuối các mẫu phần mềm độc hại ban đầu và trình Phân biệt cố gắng bắt chước trình Phát hiện phần mềm độc hại PE hộp đen để nhận ra cả phần mềm PE tốt ban đầu và phần mềm PE độc hại đối kháng đã tạo. Sau đó, GAPGAN sử dụng trình Tạo sinh được đào tạo để tạo ra các trọng tải đối kháng cho mỗi phần mềm PE độc hại đầu vào và sau đó nối phần trọng tải đối kháng vào phần mềm PE độc hại đầu vào tương ứng, điều này sẽ tạo ra phần mềm PE độc hại đối kháng trong khi vẫn bảo toàn các chức năng ban đầu của nó. Các thử nghiệm cho thấy GAPGAN có thể đạt được tỷ lệ tấn công thành công 100% chống lại MalConv chỉ với các trọng tải phụ thêm là 2,5% tổng độ dài của các mẫu phần mềm độc hại đầu vào. Những cách tiếp cận tấn công dựa trên GAN này hầu hết đã đạt được một số thành công trong việc bảo toàn định dạng cũng như bảo toàn khả năng thực thi, nhưng những cách tiếp cận này không đảm bảo bảo toàn được tính độc hại.

Một phần mềm PE độc hại cho dù có thực thi được và có khả năng lẩn tránh sự phát hiện của các trình Phát hiện mã độc nhưng lại không thực thi được tính độc hại ban đầu của nó thì cũng không có ý nghĩa gì. Trong bài báo này, chúng tôi đề xuất một hệ thống kết hợp FeaGAN và DQEAF. Trong đó, FeaGAN được chúng tôi phát triển dựa trên mô hình MalGAN, còn DQEAF là một bộ khung sử dụng học tăng cường để lẩn tránh các công cụ chống phần mềm độc hại. Bộ khung DQEAF là một trong những phương pháp được đánh giá cao trong việc đảm bảo cả ba thách thức trong việc duy trì ngữ nghĩa của phần mềm PE độc hại đột biến đối với các cuộc tấn công đối kháng trong thực tế chống lại sự phát hiện các phần mềm PE độc hại [2, 12].

Phương pháp được đã được nhóm tác giả chứng minh tính hiệu quả Ngoài ra, chúng tôi cũng cải thiện khả năng lẩn tránh bằng cách sử dụng phương pháp tổng hợp cho trình Phát hiện mã độc, để các mẫu phần mềm độc hại đối kháng tương tác nhiều nhất có thể, với hy vọng tăng khả năng lẩn tránh của các mẫu đối với trình Phát hiện mã độc sử dụng phương pháp tổng hợp. Để chắc chắn, chúng tôi cũng cài đặt thêm hộp cát Cuckoo để kiểm tra khả năng thực thi và tính độc hại của chúng. CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT 2.2 Cấu trúc của tệp PE và tệp PE độc hại 2.1 Cấu trúc của tệp PE PE là một định dạng tệp thực thi trong hệ điều hành Windows. Mỗi tệp PE chứa các nhóm thông tin bao gồm hai phần chính: Tiêu đề và phân đoạn.

Trong tiêu đề, hệ điều hành sử dụng những thông tin trong phần này để ánh xạ tệp tin vào bộ nhớ để thực thi. Mỗi tệp PE bắt đầu bằng DOS Header, theo sau là DOS Stub, cả hai đều không quan trọng đối với chức năng của tệp PE trên hệ thống Windows hiện đại nhưng nó tồn tại để tương thích ngược với MS-DOS. Tiếp theo là PE Header chứa thông tin mô tả toàn bộ tệp PE, bao gồm số phân đoạn, thời gian nó được tạo và các thuộc tính khác. PE Optional Header là phần mô tả bổ sung cho tệp PE chi tiết hơn.

Phần cuối cùng thường là Section table, chứa thông tin về tất cả các phần trong tệp PE, bao gồm tên, kích thước, hiệu số và các thông tin khác. Mỗi tệp PE cần ít nhất một phần để có thể thực thi [13]. Trong phần phân đoạn, nó chứa danh sách các phần phân đoạn có trong tệp PE, mỗi phần sẽ chứa mã thực thi và thông tin cần thiết cho chương trình [13]. Số phần phân đoạn thường không cố định.

Các phần phổ biến được tìm thấy trong tệp PE: – .text: mã thực thi của chương trình.data: dữ liệu khởi tạo của ứng dụng, chẳng hạn như chuỗi, số.edata: các bảng đã nhập và xuất (Lệnh gọi API Windows). CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT HÌNH 2.2: Cấu trúc tệp PE 2.2 Phát hiện phần mềm PE độc hại Trong phân tích phần mềm độc hại, việc phát hiện sớm trước khi phần mềm độc hại được thực thi sẽ ngăn chặn sự phá hủy và lây nhiễm của chúng, hai phương pháp chính được sử dụng trong phân tích phần mềm độc hại là dựa trên chữ ký và dựa trên kinh nghiệm [14].3 biểu thị hai phương pháp phân tích chính của mã độc: – Phương pháp dựa trên chữ ký: phương pháp truyền thống được hầu hết các trình Phát hiện phần mềm độc hại hiện nay sử dụng. Phương pháp này sử dụng các đặc điểm tệp duy nhất (chuỗi byte hoặc giá trị băm) để so sánh với cơ sở dữ liệu lớn có sẵn về phần mềm độc hại đã biết [15]. Do đó, phương pháp này có tỷ lệ dương tính giả (FPR) nhỏ.

Tuy nhiên, phương pháp này có một hạn chế nghiêm trọng, kẻ tấn công có thể dễ dàng sửa đổi chữ ký, đặc trưng của phần mềm độc hại để qua mặt phần mềm chống vi-rút (thay 11 Chương 2. CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT HÌNH 2.3: Các phương pháp phát hiện mã độc đổi thông tin không quan trọng hoặc sử dụng kỹ thuật làm nhiễu loạn [16]). Phương pháp dựa trên chữ ký được chứng minh là nhanh và hiệu quả trong việc phát hiện phần mềm độc hại đã biết nhưng không có khả năng phát hiện phần mềm độc hại không nhìn thấy [17]. Hình <number> cho thấy luồng hoạt động dựa trên đặc chữ ký.

– Phương pháp dựa trên kinh nghiệm: phân tích các mẫu đáng ngờ dựa trên các hành vi hoặc hoạt động của chúng. Các hành động và truy cập bất thường vào thông tin cấu hình của môi trường giả lập sẽ là độc hại hoặc đáng ngờ. Chúng có thể cài đặt các chương trình lạ, bật tự động khởi động, tắt tính năng bảo vệ và cố gắng phát hiện hộp cát hoặc trình gỡ lỗi, đây là những hành vi phổ biến đối với phần mềm độc hại [18]. Tất cả các hoạt động của nó sẽ được ghi lại , sau đó phân tích và kết luận.

Phương pháp dựa trên kinh nghiệm có thể phát hiện cả phần mềm độc hại không biết và phần mềm độc hại bị làm xáo trộn [16]. Tuy nhiên, có một số hạn chế khi sử dụng phương pháp này. Nếu phần mềm độc hại biết nó đang chạy trong hộp cát hoặc môi trường ảo, nó sẽ ẩn hoạt động thực tế và thay thế nó bằng một hành động vô hại [18]. Ngoài ra, phần mềm độc hại có thể cần thời gian để kích hoạt tất cả các hoạt động độc hại của nó trong môi trường ảo do thời gian phân tích và tài nguyên có hạn.

Do đó, hệ thống phát hiện dựa 12 Chương 2. CÁC NGHIÊN CỨU LIÊN QUAN VÀ CƠ SỞ LÝ THUYẾT trên kinh nghiệm sẽ có tỷ lệ dương tính giả (FPR) [19] đáng kể, dẫn đến kết quả sai.