Generation & Evaluation of Adversarial Examples for Malware Obfuscation
Rensselaer Polytechnic Institute（伦斯勒理工学院）；Amazon Alexa（亚马逊Alexa）
人们对应用卷积神经网络进行基于图像的恶意软件分类的兴趣越来越大，但神经网络对对抗性示例的敏感性允许恶意行为者逃避分类器。对抗性示例通常通过向人类无法识别的输入添加小扰动来生成，但同样的方法对恶意软件无效。一般来说，这些扰动会导致字节序列的变化，从而改变初始功能或导致不可执行的二进制文件。我们提出了一个使用混淆的可执行对抗性恶意软件示例的生成模型，该模型在白盒和黑盒设置中分别实现了高达100%和98%的错误分类率，并展示了可转移性。我们进一步评估了所提出的方法的有效性，通过报告我们对抗性示例对流行防御策略的规避率的微小变化。
2019-10-16 cs.CR cs.LG
Binary Black-box Evasion Attacks Against Deep Learning-based Static Malware Detectors with Adversarial Byte-Level Language Model
The University of Arizona（亚利桑那大学）；Covax Data Inc.（Covax Data公司）
反恶意软件引擎是防御恶意软件的第一道防线。虽然被广泛使用，但基于功能工程的反恶意软件引擎容易受到看不见的（零日）攻击。最近，基于深度学习的静态反恶意软件检测器在识别看不见的攻击方面取得了成功，而无需特征工程和动态分析。然而，这些检测器容易受到具有轻微扰动的恶意软件变体的影响，称为对抗性示例。生成有效的对抗性示例有助于揭示此类系统的脆弱性。用于发起这种攻击的当前方法需要访问目标反恶意软件模型的规范、反恶意软件响应的置信度分数或动态恶意软件分析，这要么是不现实的要么是昂贵的。我们提出了MalRNN，这是一种基于深度学习的新方法，可以自动生成规避恶意软件变体，而无需任何这些限制。我们的方法具有对抗性示例生成过程，该过程通过生成序列到序列递归神经网络来学习语言模型以增强恶意软件二进制文件。MalRNN有效地避开了三种最近基于深度学习的恶意软件检测器，并优于当前的基准方法。讨论了将我们的MalRNN应用于具有八个恶意软件类别的真实数据集的结果。
2020-12-14 cs.CR cs.LG
Multi-view Representation Learning from Malware to Defend Against Adversarial Variants
University of Arizona（亚利桑那大学）；University of South Florida（南佛罗里达大学）；University of Georgia（佐治亚大学）
基于深度学习的对抗性恶意软件检测器在检测从未见过的恶意软件可执行文件方面取得了可喜的成果，而无需依赖昂贵的动态行为分析和沙箱。尽管这些检测器具有这些能力，但已被证明容易受到对抗性恶意软件变体的攻击-这些变体是由机器学习生成的原始恶意软件可执行文件的精心修改的功能保留版本。由于这些对抗性修改的性质，这些对抗性方法通常使用恶意软件可执行文件的\textit{single view}（即，二进制/十六进制视图）以生成对抗性恶意软件变体。这为防守者提供了一个机会（即，恶意软件检测器）通过利用恶意软件文件的多于一个视图来检测对抗性变体（例如，除了二进制视图之外，还有源代码视图）。这个想法背后的基本原理是，虽然对手专注于二进制视图，但源代码视图中恶意软件文件的某些特征仍然未被触及，这导致检测到对抗性恶意软件变体。为了利用这个机会，我们提出了对抗性鲁棒多视图恶意软件防御（ARMD），这是一种新型的多视图学习框架，用于提高基于DL的恶意软件检测器对对抗性变体的鲁棒性。我们在三个著名的基于开源深度学习的恶意软件检测器上进行的实验表明，ARMD能够将这些恶意软件检测器的对抗鲁棒性提高多达七倍。
2022-10-25 cs.AI cs.CR cs.LG
Improving Robustness of Malware Classifiers using Adversarial Strings Generated from Perturbed Latent Representations
Czech Technical University in Prague（布拉格捷克理工大学）
在恶意软件行为分析中，访问和创建的文件列表通常指示所检查的文件是恶意的还是良性的。然而，恶意软件作者试图通过生成随机文件名和/或用新版本的恶意软件修改使用的文件名来避免检测。这些变化代表了现实世界的对抗性例子。这项工作的目标是生成真实的对抗性示例，并提高分类器对这些攻击的鲁棒性。我们的方法以无监督的方式学习输入字符串的潜在表示，并在潜在域中使用基于梯度的对抗攻击方法来生成输入域中的对抗示例。我们使用这些例子来提高分类器的鲁棒性，通过训练生成的对抗性字符串集。与只在扰动的潜在向量上训练的分类器相比，我们的方法产生的分类器明显更鲁棒，而不会在标准精度上有很大的权衡。
2021-10-22 cs.CR cs.LG
Mal2GCN: A Robust Malware Detection Approach Using Deep Graph Convolutional Networks With Non-Negative Weights
Sharif University of Technology（谢里夫理工大学）
随着使用深度学习（DL）解决各种问题的步伐越来越快，保护这些模型免受攻击已成为研究人员的主要关注点之一。最近的研究表明，基于DL的恶意软件检测器容易受到对抗性示例的攻击。攻击者可以创建精心制作的对抗性示例，以逃避基于DL的恶意软件检测器。在本文中，我们提出了Mal2GCN，一个强大的恶意软件检测模型，使用函数调用图（FCG）表示的可执行文件结合图卷积网络（GCN）来检测Windows恶意软件。由于可执行文件的FCG表示比原始字节序列表示更鲁棒，因此许多提出的对抗性示例生成方法在规避Mal2GCN方面是无效的。此外，我们使用非负训练方法将Mal2GCN转换为单调非减函数，从而在理论上对附加攻击具有鲁棒性。然后，我们提出了一个黑盒源代码为基础的对抗性恶意软件生成方法，可用于评估恶意软件检测模型对现实世界的对手的鲁棒性。所提出的方法将对抗代码注入恶意软件源代码的各个位置，以逃避恶意软件检测模型。实验表明，非负权值的Mal2GCN在检测Windows恶意软件时具有较高的准确率，并且对恶意软件源代码中添加良性特征的对抗攻击具有较强的鲁棒性。
2022-03-12 cs.CR cs.LG
Adversarial Patterns: Building Robust Android Malware Classifiers
Rochester Institute of Technology（罗切斯特理工学院）
该综述针对全球应用最广的Android系统的恶意软件分类器易受对抗攻击的问题，全面梳理相关背景、攻防最新进展，给出鲁棒分类器设计指南与未来研究方向。
2024-04-12 cs.CR cs.LG
Generative Adversarial Networks for Malware Detection: a Survey
Massey University（梅西大学）；Central Queensland University（中央昆士兰大学）；Ajou University（亚洲大学）
自从Ian Goodfellow在2014年的论文中提出他们的建议以来，生成对抗网络领域的研究出现了爆炸式增长。虽然它们已被用于许多领域，但恶意软件研究领域是GANs扎根的问题空间。从平衡数据集到在稀有类中创建看不见的示例，GAN模型提供了广泛的应用机会。本文综述了在恶意软件问题空间中使用生成对抗网络的当前研究和文献。这样做的目的是希望读者能够全面了解生成对抗模型为该领域提供了什么，以及它在恶意软件研究中的哪些领域得到了最好的利用。它涵盖了当前的相关调查，GAN的不同类别，并给出了最近针对不同主题优化GANs的研究结果，以及未来的探索方向。
2023-02-24 cs.CR cs.LG
Adversarial Co-Evolution of Malware and Detection Models: A Bilevel Optimization Perspective
Faculty of Information Technology, Czech Technical University in Prague（信息技术学院，布拉格捷克技术大学）
本文提出基于双层优化的鲁棒防御框架，通过建模防御者与攻击者之间的对抗共进化过程，有效提升恶意软件检测系统的抗攻击能力，实验表明其能显著降低攻击成功率。
2026-04-24 cs.CR cs.LG
SETTI: A Self-supervised Adversarial Malware Detection Architecture in an IoT Environment
Shiraz University of Technology（设拉子理工大学）；University of Surrey（萨里大学）
近年来，恶意软件检测已成为物联网（IoT）安全领域一个活跃的研究课题。其原理是从大量连续生成的恶意软件中利用知识。现有的算法为物联网设备实践可用的恶意软件功能，缺乏实时预测行为。因此，需要对恶意软件检测进行更多研究，以应对输入物联网数据的实时错误分类。受此启发，在本文中，我们提出了一种用于检测物联网网络中恶意软件的对抗性自监督架构SETTI，考虑可能未标记的物联网网络流量样本。在SETTI体系结构中，我们设计了三种自监督攻击技术，即Self-MDS、GSelf-MDS和ASelf-MDS。Self-MDS方法实时考虑IoT输入数据和对抗样本生成。GSelf-MDS构建了一个生成对抗网络模型，在自监督结构中生成对抗样本。最后，ASelf-MDS利用三种著名的扰动样本技术来开发对抗性恶意软件，并将其注入自监督架构。此外，我们应用防御方法来减轻这些攻击，即对抗性自我监督训练，以保护恶意软件检测架构免受恶意样本的注入。为了验证攻击和防御算法，我们在两个最近的物联网数据集上进行了实验：IoT 23和NBIoT。结果比较表明，在IoT 23数据集中，Self-MDS方法从攻击者的角度来看具有最大的破坏性后果，准确率从98%降低到74%。在NBIoT数据集中，ASelf-MDS方法是最具破坏性的算法，可以将准确率从98%降至77%。
2022-04-16 cs.CR cs.LG
A Comparison of Adversarial Learning Techniques for Malware Detection
Czech Technical University in Prague（布拉格捷克技术大学）；Faculty of Information Technology（信息技术学院）；San Jose State University（圣何塞州立大学）
本文针对恶意 Windows PE 文件，比较基于梯度、进化算法和强化学习的对抗样本生成方法，发现 Gym-malware 实用性最强且组合使用逃避率最高。
2023-08-19 cs.CR cs.LG
A Malware Classification Survey on Adversarial Attacks and Defences
该综述梳理了网络安全领域恶意软件分类方向的对抗攻击与防御研究，将方法分为四类并分析优劣，介绍了常用数据集与评估标准，指出了开放研究难点与未来方向，为相关研究者和从业者提供参考。
2023-12-15 cs.CR cs.LG
Burning the Adversarial Bridges: Robust Windows Malware Detection Against Binary-level Mutations
Meta Inc.（Meta公司）；Visa Research（Visa研究院）；University of Central Florida（中佛罗里达大学）
本研究针对现有恶意软件检测系统易受二进制级对抗变异攻击的问题，提出三种预处理步骤缩减攻击面，并设计基于图的段依赖信息提取方案，在对抗攻击下仍保持较高检测准确率。
2023-10-05 cs.CR cs.LG
Effectiveness of Moving Target Defenses for Adversarial Attacks in ML-based Malware Detection
King’s College London（伦敦国王学院）
近年来，已经提出了几种对抗对抗ML攻击的移动目标防御（MTD）。MTD声称通过定期改变防御的某些元素（例如循环配置）来增加攻击者进行攻击的难度。为了检验这些说法，我们首次研究了几种最新的MTD对应用于恶意软件检测领域的对抗性ML攻击的有效性。在不同的威胁模型下，我们证明了可转移性和查询攻击策略可以通过跨Android和Windows的现有和新颖的攻击策略来实现对这些防御的高水平规避。我们还表明，指纹识别和侦察是可能的，并演示了攻击者如何获得关键的防御超参数以及如何产生预测的信息。基于我们的研究结果，我们提出了关键的建议，为今后的工作，有效的MTD的对抗攻击在ML为基础的恶意软件检测。
2023-02-01 cs.CR cs.LG
Black-Box Attacks against RNN based Malware Detection Algorithms
Peking University（北京大学）
最近的研究表明，基于机器学习的恶意软件检测算法在对抗性样本的攻击下非常脆弱。这些工作主要集中在使用具有固定维度的特征的检测算法，而一些研究人员已经开始使用递归神经网络（RNN）来检测基于序列API特征的恶意软件。本文提出了一种新的算法来生成序列对抗性的例子，这是用来攻击基于RNN的恶意软件检测系统。恶意攻击者通常很难知道受害RNN的确切结构和权重。替代RNN被训练成近似受害者RNN。然后，我们提出了一个生成RNN，从原始的序列恶意软件输入中输出序列对抗性示例。实验结果表明，基于RNN的恶意软件检测算法无法检测到大多数恶意对抗样本，这意味着该模型能够有效地绕过检测算法。
2017-05-23 cs.CR cs.LG
COPYCAT: Practical Adversarial Attacks on Visualization-Based Malware Detection
University of Central Florida（中佛罗里达大学）；George Mason University（乔治梅森大学）；INHA University（仁荷大学）
尽管有许多尝试，但恶意软件检测系统上的对抗性机器学习的最新技术通常会产生不可执行的样本。在这项工作中，我们开始研究基于可视化的恶意软件检测系统对对抗性示例（AE）的鲁棒性，这些示例不仅能够欺骗模型，而且还能够保持原始输入的可执行性。因此，我们首先研究了现有的现成的对抗攻击方法在恶意软件检测系统上的应用，通过这些方法，我们发现这些方法不一定保持原始输入的功能。因此，我们提出了一种生成对抗性示例的方法COPYCAT，该方法专为恶意软件检测系统设计，考虑到两个主要目标：实现高错误分类率并保持原始输入的可执行性和功能。我们为COPYCAT设计了两个主要的配置，即AE填充和样品注入。虽然第一种配置会导致非目标误分类攻击，但样本注入配置能够迫使模型生成目标输出，这在恶意软件归因设置中是非常理想的。我们通过对两个恶意软件数据集进行广泛的实验来评估COPYCAT的性能，并报告说，我们能够生成对抗样本，这些样本分别以98.9%和96.5%的错误分类率与Windows和物联网二进制数据集一起使用，优于文献中的错误分类率。最重要的是，我们报告说，这些AE是可执行的，不像现成的方法产生的AE。我们的可移植性研究表明，通过我们提出的方法生成的AE可以推广到其他模型。
2019-09-20 cs.CR cs.LG
On the Robustness of Malware Detectors to Adversarial Samples
Macquarie University（麦考瑞大学）
本文研究对抗性恶意软件在不同检测器间的可迁移性，发现针对单一检测器的对抗二进制文件通常难以迁移，集成检测可缓解威胁，而大幅规避改动还可能暴露攻击技术。
2024-08-05 cs.CR cs.LG
Stochastic-HMDs: Adversarial Resilient Hardware Malware Detectors through Voltage Over-scaling
George Mason University（乔治梅森大学）；Dhaka University of Engineering & Technology（达卡工程技术大学）；Universite Polytechnique Hauts-De-France（上法兰西理工大学）；CNRS（法国国家科学研究中心）；IEMN（微电子与纳米技术研究所）
基于机器学习的硬件恶意软件检测器（HMD）在保护系统免受恶意软件侵害方面提供了潜在的改变游戏规则的优势。然而，HMD遭受对抗攻击，可以被有效地逆向工程并随后被规避，从而允许恶意软件隐藏而不被检测到。我们通过提出一种新的HMD（随机HMD），通过近似计算，这使得HMD的推理计算随机，从而使HMD对抗性规避攻击的弹性解决这个问题。具体来说，我们建议利用电压过缩放来诱导HMD模型中的随机计算。我们表明，这种技术使HMD对黑盒对抗攻击场景更具弹性，即，逆向工程和可转移性。我们的实验结果表明，随机HMD提供了有效的防御对抗攻击以及副产品功率节省，而不需要对硬件/软件或HMD的模型进行任何更改，即，不需要再训练或微调。此外，根据最近的结果可能近似正确（PAC）的可学习性理论，我们证明了随机HMD是可证明的更难以逆向工程。
2021-03-11 cs.CR cs.LG
Design of secure and robust cognitive system for malware detection
George Mason University（乔治梅森大学）
基于机器学习的恶意软件检测技术依赖于恶意软件的灰度图像，并且倾向于基于灰度图像中的纹理分布来对恶意软件进行分类。尽管机器学习技术显示出了进步和有希望的结果，但攻击者可以通过生成对抗性样本来利用漏洞。对抗样本是通过智能地制作并向输入样本添加扰动来生成的。存在大多数基于软件的对抗攻击和防御。现有的基于机器学习和灰度图像的恶意软件检测方法需要对恶意数据进行预处理，以抵御恶意攻击。这可能会导致额外的开销，并可能延长实时恶意软件检测。因此，作为替代方案，我们探索基于RRAM（电阻式随机存取存储器）的防御对手。因此，本论文的目的是解决上述关键的系统安全问题。通过展示所提出的设计安全和鲁棒的认知系统的技术来解决上述挑战。首先，提出了一种新的技术来检测隐形恶意软件。该技术使用恶意软件的二进制图像，然后从相同的提取不同的功能，然后采用不同的ML分类器的数据集，从而获得。结果表明，这种技术是成功的，在区分类的恶意软件的基础上提取的特征。其次，我展示了对抗攻击的影响，可重构的RRAM神经形态架构与不同的学习算法和设备特性。我还提出了一个集成的解决方案，用于减轻对抗攻击的影响，使用可重构RRAM架构。
2022-08-03 cs.CR cs.LG
Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Google Deepmind（谷歌DeepMind）；Google（谷歌）
本文以Gmail依赖Magika模型的恶意软件检测流水线为案例，研究发现仅修改13字节即可90%绕过检测，同时提出防御方案使高资源攻击者需改50字节才达20%成功率，且该方案已上线生产环境。
2025-10-02 cs.CR cs.LG
On the Effectiveness of Adversarial Samples against Ensemble Learning-based Windows PE Malware Detectors
University of Information Technology（信息技术大学）；Vietnam National University Ho Chi Minh City（胡志明市越南国家大学）
本文提出FeaGAN模型，结合GAN与深度Q网络RL模型，通过保持格式、可执行性和恶意性生成对抗样本，以提升对集成学习Windows PE恶意软件检测器的逃避能力。
2023-09-25 cs.CR cs.LG
Statically Detecting Adversarial Malware through Randomised Chaining
随着恶意软件攻击的快速增长，越来越多的防病毒开发人员考虑将机器学习技术部署到他们的产品中。近年来，研究人员和开发人员发布了各种基于机器学习的检测器，这些检测器在恶意软件检测方面具有很高的精度。虽然有许多基于机器学习的恶意软件检测器可用，但它们面临各种以机器学习为目标的攻击，包括逃避和对抗攻击。该项目探讨了对抗性示例如何以及为什么能够逃避恶意软件检测器，然后提出了一种随机链接方法来静态防御对抗性恶意软件。这项研究对于打击相关恶意软件网络犯罪至关重要。
2021-12-04 cs.CR
Defending against Adversarial Malware Attacks on ML-based Android Malware Detection Systems
Zhejiang University（浙江大学）；University College London（伦敦大学学院）
本文提出ADD框架，一种插件式防御方案，用于增强基于机器学习的Android恶意软件检测系统对问题空间对抗性攻击的鲁棒性，实验证明其有效且能提升现实防病毒软件的防御能力。
2025-01-23 cs.AI cs.CR cs.LG
Effectiveness of Adversarial Examples and Defenses for Malware Classification
University of North Texas（北德克萨斯大学）
人工神经网络已经成功地用于许多不同的分类任务，包括恶意软件检测和区分恶意和非恶意程序。尽管人工神经网络在这些任务上表现得非常好，但它们也容易受到对抗性示例的影响。对抗性样本是一个样本，它被做了微小的修改，因此神经网络会错误地分类它。已经提出了许多技术，用于制作对抗性样本和强化神经网络来对抗它们。以前的大多数工作都是在图像领域完成的。一些攻击已被用于恶意软件领域，该领域通常处理二进制特征向量。为了更好地理解恶意软件分类中对抗性示例的空间，我们研究了恶意软件领域中制作对抗性示例和防御技术的不同方法，并比较了它们在多个数据集上的有效性。
2019-09-10 cs.CR cs.LG stat.ML
ML-based IoT Malware Detection Under Adversarial Settings: A Systematic Evaluation
University of Central Florida（中佛罗里达大学）；Wayne State University（韦恩州立大学）；Ewha Womans University（梨花女子大学）
物联网（IoT）设备的快速增长使它们处于恶意攻击的前线。这导致了物联网恶意软件数量的爆炸式增长，并不断发生突变，进化和复杂性。这些恶意软件使用机器学习（ML）算法以及传统的基于签名的方法来检测。虽然基于ML的检测器提高了检测性能，但它们容易受到恶意软件演变和复杂性的影响，使它们仅限于它们所训练的模式。这种持续的趋势促使大量关于恶意软件分析和检测研究的文献不断涌现，许多系统不断涌现，并且表现优于其前辈。在这项工作中，我们系统地研究了最先进的恶意软件检测方法，这些方法在一系列对抗性设置下利用各种表示和学习技术。我们的分析强调了所提出的检测器在学习模式中的不稳定性，这些模式将良性软件与恶意软件区分开来。结果表明，软件突变与功能保持操作，如剥离和填充，显着恶化的准确性，这样的检测器。此外，我们对行业标准恶意软件检测器的分析显示了它们对恶意软件突变的不稳定性。
2021-08-30 cs.CR cs.LG
ADVERSARIALuscator: An Adversarial-DRL Based Obfuscator and Metamorphic Malware SwarmGenerator
Microsoft R&D（微软研发中心）；BITS Pilani（比尔拉理工学院皮拉尼校区）
高级变形恶意软件和勒索软件通过使用混淆，可以在每次攻击中改变其内部结构。如果这种恶意软件甚至可以入侵任何物联网网络，那么即使原始恶意软件实例被检测到，到那时它仍然可以感染整个网络。获得这种规避恶意软件的训练数据是具有挑战性的。因此，在本文中，我们提出了ADVERSARIALuscator，一个新的系统，使用专门的对抗性DRL混淆恶意软件在操作码级别，并创建多个变形的实例相同。据我们所知，ADVERSARIALuscator是有史以来第一个采用基于马尔可夫决策过程的方法来转换并找到在操作码级别创建单个混淆问题的解决方案的系统。这一点很重要，因为机器语言级别是可以保留功能的最低级别，以便有效地模拟实际攻击。ADVERSARIALuscator也是有史以来第一个使用高效连续动作控制的系统，能够进行深度强化学习代理，如网络安全领域的近端策略优化。实验结果表明，ADVERSARIALuscator可以将恶意软件语料库的变形概率提高>0.45。此外，ADVERSARIALuscator生成的变形实例中有超过33%能够避开最强大的IDS。如果这种恶意软件甚至可以入侵任何物联网网络，那么即使原始恶意软件实例被检测到，到那时它仍然可以感染整个网络。因此，ADVERSARIALuscator可以用来生成代表一群非常强大和协调的基于AI的变形恶意软件攻击的数据。如此生成的数据和模拟可用于加强IDS对高级…
2021-09-23 cs.AI cs.CR cs.LG
Adversarial Deep Learning for Robust Detection of Binary Encoded Malware
CSAIL, MIT Cambridge, USA
恶意软件不断适应以避免检测。基于模型的恶意软件检测器（诸如SVM和神经网络）易受所谓的对抗性示例的攻击，对抗性示例是对可检测恶意软件的适度改变，其允许所产生的恶意软件逃避检测。已经使用鞍点优化公式开发了对图像的对抗性示例具有鲁棒性的连续值方法。我们受到他们的启发，开发类似的方法离散，例如二进制，域的恶意软件的特征。恶意软件的一个具体的额外挑战是，对抗性示例必须以保留其恶意功能的方式生成。我们介绍的方法能够产生功能上保留的对抗性恶意软件的例子在二进制域。使用鞍点公式，我们将对抗性示例纳入对它们具有鲁棒性的模型的训练中。我们评估的方法和其他文献中的一组便携式执行~（PE）文件的有效性。比较提示我们引入了在训练过程中计算的在线测量，以评估鲁棒性的一般期望。
2018-03-25 cs.CR cs.LG stat.ML
secml-malware: Pentesting Windows Malware Classifiers with Adversarial EXEmples in Python
针对基于学习的Windows恶意软件检测器易被对抗样本规避的问题，研究团队推出了首个Python库secml-malware，实现了白盒与黑盒对抗攻击，可用于渗透测试及鲁棒性评估，且支持扩展新攻击策略。
2024-12-13 cs.CR
Protecting from Malware Obfuscation Attacks through Adversarial Risk Analysis
Institute of Mathematical Sciences, ICMAT-CSIC（数学科学研究所（ICMAT-CSIC））
恶意软件是一个主要的全球风险，每年影响数百万用户。检测系统中的标准算法在处理通过混淆工具传递的恶意软件时执行不足。我们详细说明了这项研究的开源变形软件，利用混合框架，以获得相关功能的二进制文件。然后，我们提供了一个改进的替代解决方案的基础上，对抗性风险分析，我们说明描述一个例子。
2019-11-09 cs.CR cs.LG stat.ML
Adversarial Samples on Android Malware Detection Systems for IoT Systems
University of Electronic and Science Technology of China（电子科技大学）；Temple University（天普大学）；University of Idaho（爱达荷大学）
许多IoT（物联网）系统运行Android系统或类Android系统。随着机器学习算法的不断发展，基于学习的物联网设备Android恶意软件检测系统逐渐增多。然而，这些基于学习的检测模型往往容易受到对抗性样本的影响。需要一个自动化测试框架来帮助这些基于学习的物联网设备恶意软件检测系统执行安全分析。目前的对抗样本生成方法大多需要模型的训练参数，且大多数方法都是针对图像数据的。为了解决这个问题，我们提出了一个\textbf{t}架构，用于基于\textbf{l}收入的\textbf{A} ndroid \textbf{m} alware \textbf{d} etection systems（TLAMD）的物联网设备。关键的挑战是如何构造一个合适的适应度函数来生成有效的对抗样本，而不影响应用程序的功能。通过引入遗传算法和一些技术改进，我们的测试框架可以为物联网Android应用程序生成对抗样本，成功率接近100\%，并可以对系统进行黑盒测试。
2019-02-12 cs.CR cs.LG
On the Effectiveness of Adversarial Training on Malware Classifiers
University of Luxembourg（卢森堡大学）；King’s College London（伦敦大学国王学院）；TU Wien（维也纳技术大学）；University College London（伦敦大学学院）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出Rubik框架系统评估对抗训练在恶意软件分类中的有效性，揭示模型架构和特征空间结构对鲁棒性的影响，并提出实践建议。
2025-11-26 cs.CR cs.LG
Arms Race in Adversarial Malware Detection: A Survey
University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）；Nanjing University of Science and Technology（南京理工大学）；Case Western Reserve University（凯斯西储大学）；University of Colorado Colorado Springs（科罗拉多大学科罗拉多斯普林斯分校）
恶意软件（malware）是一种主要的网络威胁，必须使用机器学习（ML）技术来解决，因为每天都有数百万个新的恶意软件示例注入网络空间。然而，ML容易受到被称为对抗性示例的攻击。在本文中，我们通过假设，攻击，防御和安全属性的统一概念框架的镜头来调查和系统化对抗性恶意软件检测（AMD）领域。这不仅使我们能够将攻击和防御映射到偏序结构，还使我们能够清楚地描述AMD背景下的攻击-防御军备竞赛。我们得出了一些见解，包括：知道防御者的特征集是成功的转移攻击的关键;实际规避攻击的有效性在很大程度上取决于攻击者在问题空间中进行操纵的自由度;知道攻击者的操纵集是防御者成功的关键;对抗训练的效果取决于防守者识别最强攻击的能力。我们还讨论了一些未来的研究方向。
2021-08-31 cs.CR cs.LG
Adversarial Malware Generation in Linux ELF Binaries via Semantic-Preserving Transformations
Faculty of Information Technology, Czech Technical University in Prague（信息技术学院，布拉格捷克技术大学）
本文提出了一种新的ELF格式对抗性恶意软件生成器，通过多种指标评估发现其 evasion rate 为67.74%，并发现目标分类器对可执行文件中的字符串敏感。
2026-04-24 cs.CR cs.LG
Explainability-Guided Adversarial Attacks on Transformer-Based Malware Detectors Using Control Flow Graphs
Tennessee Tech University（田纳西理工大学）；University of Nebraska Omaha（内布拉斯加大学奥马哈分校）
本文研究了基于变换器的恶意软件检测器在对抗性逃逸攻击中的脆弱性，提出了一种利用可解释性机制的白盒对抗攻击方法，通过扰动关键图组件来诱导误分类。
2026-04-04 cs.CR cs.LG
StratDef: Strategic Defense Against Adversarial Attacks in ML-based Malware Detection
King’s College London（伦敦国王学院）
提出基于移动目标防御的 StratDef 系统，通过动态策略化选择模型降低攻击可迁移性，并在多威胁级别下证明其优于现有恶意软件检测防御。
2023-04-24 cs.CR cs.LG
Intelligent Systems Design for Malware Classification Under Adversarial Conditions
U.S. Military Academy（美国军事学院）
使用机器学习和智能系统已成为恶意软件检测和网络威胁预防领域的既定做法。在以广泛的可访问性和大数据为特征的环境中，在不使用基于人工智能的技术的情况下进行恶意软件分类的可行性已经呈指数级下降。对抗性机器学习的威胁也是当前自动化智能恶意软件检测领域的特征。攻击者正在寻找负责恶意软件分类功能的底层数据和/或算法，以映射其行为或破坏其功能。这些对手的目的是绕过网络安全措施并提高恶意软件的有效性。本研究的重点是设计一个智能系统的方法，使用机器学习，可以准确和鲁棒地分类恶意软件在对抗条件下。这样的结果最终依赖于增加的灵活性和适应性，以建立一个足够强大的模型来识别对底层算法的攻击。
2019-07-06 cs.CR cs.LG stat.ML
FGAM:Fast Adversarial Malware Generation Method Based on Gradient Sign
PLA Information Engineering University（中国人民解放军信息工程大学）
针对字节到图像恶意软件检测模型对抗攻击中注入扰动大、生成效率低的问题，提出基于梯度符号迭代的FGAM方法，使对抗恶意软件欺骗模型成功率提升约84%。
2023-05-22 cs.AI cs.CR
Defending Malware Classification Networks Against Adversarial Perturbations with Non-Negative Weight Restrictions
Google（谷歌）
越来越多的文献表明，深度神经网络容易受到对抗性输入修改的影响。最近，这项工作已经从图像分类扩展到布尔特征上的恶意软件分类。在本文中，我们提出了几种在这个特定领域训练受限网络的新方法，这些方法在防止对抗性扰动方面非常有效。我们从一个完全抗对抗的神经网络开始，它具有严格的非负权重限制，相当于学习单调布尔函数，然后尝试放松约束以提高分类器的准确性。
2018-06-23 cs.CR cs.LG stat.ML
DOOM: A Novel Adversarial-DRL-Based Op-Code Level Metamorphic Malware Obfuscator for the Enhancement of IDS
BITS Pilani（比尔拉理工学院皮拉尼校区）
我们设计并开发了DOOM（Adversarial-DRL based Opcode level Obfuscator to generate Metamorphic malware），这是一种新颖的系统，使用对抗性深度强化学习在操作码级别混淆恶意软件，以增强IDS。DOOM的最终目标不是为网络攻击者提供强大的武器，而是创建针对高级零日攻击的防御机制。实验结果表明，由DOOM创建的混淆恶意软件可以有效地模仿多个同时发生的零日攻击。据我们所知，DOOM是第一个可以生成详细到个人操作码级别的混淆恶意软件的系统。DOOM也是有史以来第一个在恶意软件生成和防御领域使用基于深度强化学习的高效连续动作控制的系统。实验结果表明，超过67%的变形恶意软件生成的毁灭战士可以很容易地逃避检测，即使是最强大的IDS。这一成就获得的意义，因为这一点，即使是入侵检测系统与先进的路由子系统增加可以很容易地逃避恶意软件产生的毁灭战士。
2020-10-16 cs.AI cs.CR cs.LG
Enhancing Multiclass Malware Classification in Resource-Constrained Environments
BRAC University（BRAC大学）
针对资源受限环境中多类恶意软件分类准确率低且计算开销大的问题，提出结合LightGBM与随机森林的轻量级模型，通过SMOTE和SOM-US平衡数据、遗传算法选择特征，在家族和个体分类上分别达到91.2%和78.7%的准确率，优于现有方法。
2026-09-24 cs.CR cs.LG
MalProtect: Stateful Defense Against Adversarial Query Attacks in ML-based Malware Detection
King’s College London（伦敦国王学院）；Universitat Politècnica de València（瓦伦西亚理工大学）
本文提出MalProtect，一种针对恶意软件检测领域对抗性查询攻击的有状态防御方法，通过多威胁指标检测攻击，将Android和Windows恶意软件的规避率降低80+%，优于现有防御。
2023-06-30 cs.CR cs.LG
Adversarial Attacks on Transformers-Based Malware Detectors
College of Engineering, Pune（浦那工程学院）
本文研究基于Transformer的恶意软件检测器对对抗性攻击的脆弱性，通过实施攻击获得23.9%的错误分类率，并提出防御方法将错误分类率降低一半。
2022-11-05 cs.AI cs.CR cs.LG
ATWM: Defense against adversarial malware based on adversarial training
PLA Information Engineering University（中国人民解放军信息工程大学）
本文提出ATWM方法，通过预处理防御简单对抗样本并结合对抗训练，在不降低检测准确率的前提下提升恶意软件检测模型的对抗防御能力。
2023-07-11 cs.AI cs.CR
PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks
Nanjing University of Posts and Telecommunications（南京邮电大学）；Nanjing Institute of Technology（南京工程学院）；University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）
本文提出PAD对抗训练框架，通过可学习凸度量量化分布级离散扰动并提供收敛保证，在两个Android恶意软件数据集上显著提升防御效果，抵御27种规避攻击时检测准确率超83.45%，无攻击时准确率下降小于2.16%。
2023-04-06 cs.CR cs.LG stat.ML
Feature-Space Bayesian Adversarial Learning Improved Malware Detector Robustness
The University of Adelaide（阿德莱德大学）；The University of New South Wales（新南威尔士大学）；Data61, CSIRO（CSIRO数据61）；Defence Science and Technology Group（国防科学与技术集团）
研究提出在特征空间进行对抗学习训练鲁棒恶意软件检测器的算法，通过证明问题空间受扰恶意软件在特征空间投影是对抗样本子集，制定贝叶斯对抗学习目标，实现对问题空间对抗样本的鲁棒性，对抗训练的BNN达最先进水平。
2026-07-09 cs.CR
Attack and Defense of Dynamic Analysis-Based, Adversarial Neural Malware Classification Models
最近，研究人员提出使用基于深度学习的系统进行恶意软件检测。不幸的是，所有深度学习分类系统都容易受到对抗攻击的攻击。先前的工作已经研究了针对基于静态分析的恶意软件分类器的对抗攻击，所述恶意软件分类器仅对未知文件的内容进行分类而不执行。然而，由于大多数恶意软件被打包或加密，基于静态分析的恶意软件分类通常无法检测到这些类型的文件。为了克服这种限制，反恶意软件公司通常通过在反恶意软件引擎中仿真每个文件或在虚拟机中执行深入扫描来执行动态分析。这些策略允许在解包或解密后分析恶意软件。在这项工作中，我们研究了不同的策略制作对抗样本的动态分析。这些策略对稀疏的二进制输入进行操作，而不是像图像中的像素这样的连续输入。然后，我们研究了两个先前提出的防御机制对精心制作的对抗性样本的影响，包括蒸馏和合奏防御。我们还提出并评估了权重衰减防御。实验表明，与没有任何防御的标准基线系统相比，使用这三种防御策略，成功制作的对抗样本的数量减少了。特别是，整体防御是最有弹性的对抗攻击。重要的是，这些防御措施都没有显著降低检测恶意软件的分类准确性。最后，我们证明，虽然添加额外的隐藏层的神经模型并没有显着提高恶意软件分类的准确性，它显着增加分类器的鲁棒性对抗攻击。
2017-12-16 cs.CR
Adversarial Malware Binaries: Evading Deep Learning for Malware Detection in Executables
机器学习方法已经被用作检测恶意可执行文件的有用工具。它们利用从恶意软件样本中检索到的数据，例如头字段、指令序列甚至原始字节，来学习区分良性软件和恶意软件的模型。然而，也已经表明，机器学习和深度神经网络可以被逃避攻击（也称为对抗性示例）所欺骗，即，对输入数据的小的改变导致测试时的误分类。在这项工作中，我们研究了使用深度网络从原始字节中学习的恶意软件检测方法的漏洞。我们提出了一种基于梯度的攻击，它能够通过在每个恶意软件样本的末尾仅更改几个特定字节来规避最近提出的适合此目的的深度网络，同时保留其侵入性功能。有希望的结果表明，我们的对抗性恶意软件二进制文件以很高的概率逃避目标网络，即使它们的字节只有不到1%被修改。
2018-03-12 cs.CR
HashTran-DNN: A Framework for Enhancing Robustness of Deep Neural Networks against Adversarial Malware Samples
Nanjing University of Science and Technology（南京理工大学）；Florida International University（佛罗里达国际大学）；Nanjing University of Posts and Telecommunications（南京邮电大学）；University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）
在图像处理和相关应用的背景下的对抗性机器学习已经受到了大量的关注。然而，对抗性机器学习，特别是对抗性深度学习，在恶意软件检测的背景下，尽管其明显的重要性，但受到的关注要少得多。在本文中，我们提出了一个用于增强深度神经网络（DNN）对对抗性恶意软件样本的鲁棒性的框架，称为哈希变换深度神经网络（HashTran-DNN）。其核心思想是使用具有一定局部保持特性的哈希函数来转换样本，以增强DNN在恶意软件分类中的鲁棒性。该框架进一步使用去噪自动编码器（DAE）正则化器来重建样本的哈希表示，使生成的DNN分类器能够获得潜在空间中的位置信息。我们用HashTran-DNN框架的两个具体实例来对Android恶意软件进行分类。实验结果表明，四种已知的攻击可以使标准DNN在分类Android恶意软件时变得无用，已知的防御最多可以防御四种攻击中的三种，而HashTran-DNN可以有效地防御所有四种攻击。
2018-09-18 cs.CR cs.LG stat.ML
Adversarial EXEmples: A Survey and Experimental Evaluation of Practical Attacks on Machine Learning for Windows Malware Detection
Università degli studi di Cagliari（卡利亚里大学）；FireEye, Inc.（火眼公司）；Pluribus One（Pluribus One公司）；Università degli Studi di Genova（热那亚大学）
最近的工作表明，对抗性Windows恶意软件样本-在本文中称为对抗性EXEmples-可以通过扰动相对较少的输入字节来绕过依赖于静态代码分析的基于机器学习的检测。为了保留恶意功能，以前的攻击要么向文件的现有非功能区域添加字节，可能会限制其有效性，要么需要运行计算要求很高的验证步骤，以丢弃在沙箱环境中无法正确执行的恶意软件变体。在这项工作中，我们通过开发一个统一的框架来克服这些限制，该框架不仅包含和概括了以前针对机器学习模型的攻击，而且还包括三种基于实用的、功能保留的操作的新攻击。这些攻击被命名为Full DOS、Extend和Shift，它们分别通过操纵DOS头、扩展DOS头和移动第一部分的内容来注入对抗性负载。我们的实验结果表明，这些攻击在白盒和黑盒情况下都优于现有的攻击，在规避率和注入的有效载荷大小方面实现了更好的权衡，同时还能够规避已被证明对以前的攻击具有鲁棒性的模型。为了便于我们的研究结果的可重复性，我们开源了我们的框架和所有相应的攻击实现，作为secml-malware Python库的一部分。我们通过讨论当前基于机器学习的恶意软件检测器的局限性以及基于将来自主题专家的领域知识直接嵌入到学习过程中的潜在缓解策略来结束这项工作。
2021-03-22 cs.CR cs.LG
Deceiving End-to-End Deep Learning Malware Detectors using Adversarial Examples
Dept. of Computer Science, Bar-Ilan University（巴伊兰大学计算机科学系）
近年来，深度学习在许多应用中表现出性能突破，如图像检测、图像分割、姿态估计和语音识别。然而，这带来了一个主要问题：深度网络被发现容易受到对抗性示例的影响。对抗性样本是经过轻微修改的输入，故意设计用于引起模型的错误分类。在图像和语音领域，修改是如此之小，以至于人类看不到或听不到，但仍然极大地影响了模型的分类。深度学习模型已成功应用于恶意软件检测。在这个领域中，生成对抗性示例并不简单，因为对文件字节的微小修改可能会导致其功能和有效性发生重大变化。我们引入了一种新的损失函数，用于生成专门针对离散输入集（如可执行字节）的对抗性示例。我们修改恶意的二进制文件，使他们将被检测为良性的，同时保留其原始功能，通过注入一个小的字节序列（有效载荷）的二进制文件。我们将这种方法应用于端到端卷积深度学习恶意软件检测模型，并显示出很高的检测规避率。此外，我们表明，我们生成的有效载荷是足够强大的，可以在同一文件的不同位置和不同的文件，它的熵是低的，类似于良性的数据部分。
2019-01-10 cs.CR cs.LG
Adversarial Perturbations Against Deep Neural Networks for Malware Classification
CISPA（CISPA亥姆霍兹信息安全中心）；Saarland University（萨尔大学）；Pennsylvania State University（宾夕法尼亚州立大学）；MPI-SWS（马克斯·普朗克软件系统研究所）
深度神经网络，像许多其他机器学习模型一样，最近被证明对恶意输入缺乏鲁棒性。这些输入是通过微小但仔细选择的扰动从常规输入中导出的，这些扰动将机器学习模型欺骗到期望的错误分类中。在这个新兴领域中的现有工作主要是特定于图像分类的领域，因为可以方便地操纵图像的高熵而不改变图像的整体视觉外观。然而，目前尚不清楚此类攻击如何转化为更安全敏感的应用程序，如恶意软件检测-这可能会对样本生成带来重大挑战，并可能导致严重的失败后果。在本文中，我们展示了如何为用作恶意软件分类器的神经网络构建高效的对抗性样本制作攻击。与计算机视觉领域相比，恶意软件分类的应用领域在对抗性样本制作问题中引入了额外的约束：（i）连续的、可微分的输入域被离散的、通常是二进制的输入所取代;以及（ii）保持视觉外观不变的宽松条件被要求等效的功能行为所取代。我们使用DREBIN Android恶意软件数据集训练了许多不同的恶意软件分类器实例，证明了这些攻击的可行性。我们还评估了在何种程度上可以利用对抗性手工制作的潜在防御机制来设置恶意软件分类。虽然特征约简并没有被证明具有积极的影响，但对逆向制作的样本进行蒸馏和重新训练显示出有希望的结果。
2016-06-16 cs.CR cs.LG cs.NE
MalFox: Camouflaged Adversarial Malware Example Generation Based on Conv-GANs Against Black-Box Detectors
深度学习是一个蓬勃发展的领域，目前充满了许多实际应用和活跃的研究课题。它允许计算机从经验中学习，并根据概念的层次结构来理解世界，每个概念都通过与更简单概念的关系来定义。依靠深度学习的强大功能，我们提出了一个名为MalFox的基于卷积生成对抗网络（Conv-GAN）的框架，目标是对抗第三方黑盒恶意软件检测器的对抗恶意软件示例生成。受恶意软件作者和恶意软件检测器之间的竞争游戏的激励，MalFox采用对抗性方法来产生扰动路径，每个路径由多达三种方法（即Obfusmal，Stealmal和Hollowmal）形成，以生成对抗性恶意软件示例。为了证明MalFox的有效性，我们收集了一个由恶意软件和善意软件程序组成的大型数据集，并在生成的对抗性恶意软件示例的准确性，检测率和规避率方面研究了MalFox的性能。我们的评估表明，准确率可以高达99.0%，显著优于其他12个著名的学习模型。此外，检测率平均大幅下降了56.8%，平均回避率显著提高了56.2%。
2022-06-06 cs.CR
Query-Free Evasion Attacks Against Machine Learning-Based Malware Detectors with Generative Adversarial Networks
针对黑盒恶意软件检测器现有攻击依赖模型信息或大量查询的问题，提出一种无查询、模型无关的GAN框架，生成更逼真的对抗样本并降低多类检测器及VirusTotal引擎的检出率。
2023-06-16 cs.CR
Exploring Adversarial Examples in Malware Detection
University of Maryland, College Park（马里兰大学帕克分校）；FireEye, Inc.（火眼公司）
卷积神经网络（CNN）架构正越来越多地应用于新的领域，例如恶意软件检测，其中它能够从可执行文件中提取的原始字节中学习恶意行为。这些架构达到了令人印象深刻的性能，没有涉及功能工程的努力，但他们对主动攻击者的鲁棒性还有待了解。这样的恶意软件检测器可能会面临一个新的攻击向量，其形式是对分类模型的对抗性干扰。现有的规避攻击，旨在造成错误分类的测试时的实例，这已被广泛研究的图像分类器，是不适用的，因为输入语义，防止任意更改的二进制文件。本文探讨了恶意软件检测的对抗性示例领域。通过在生产规模数据集上训练现有模型，我们发现以前的一些攻击不如最初报告的有效，同时突出了有助于恶意软件分类的新攻击策略的架构弱点。最后，我们探讨了如何推广不同的攻击策略，权衡时，旨在提高其有效性，以及单步攻击的可转移性。
2019-04-13 cs.CR cs.LG stat.ML
ATMPA: Attacking Machine Learning-based Malware Visualization Detection Methods via Adversarial Examples
随着恶意软件（malware）威胁的日益严重，恶意软件自动检测技术受到越来越多的关注，其中基于机器学习（ML）的可视化检测方法越来越流行。在本文中，我们证明了最先进的基于ML的可视化检测方法容易受到对抗性示例（AE）攻击。基于梯度下降和L-范数优化方法，提出了一种新的对抗性纹理恶意软件扰动攻击（ATMPA）方法，攻击者可以在变换后的数据集上引入一些微小的扰动，使得基于ML的恶意软件检测方法完全失效。在MS BIG恶意软件数据集上的实验结果表明，对于几种基于ML的检测方法，小的干扰可以将准确率降低到0%，并且平均可转移率为74.1%。
2019-12-30 cs.CR
