Combining Generators of Adversarial Malware Examples to Increase Evasion Rate
Faculty of Information Technology, Czech Technical University in Prague（捷克布拉格技术大学信息技术学院）
本文提出组合多个对抗性恶意软件示例生成器以提升逃逸率，实验表明最佳组合在顶级反病毒产品上平均逃逸率达15.9%，显著优于单一生成器。
2023-04-14 cs.AI cs.CR
Adversarial Evasion in Non-Stationary Malware Detection: Minimizing Drift Signals through Similarity-Constrained Perturbations
Northern Arizona University（北亚利桑那大学）
研究探讨了攻击者能否生成同时规避分类和保持漂移监控机制不可察的对抗性恶意软件样本，提出通过相似性约束扰动平衡分类误判与漂移信号最小化。
2026-04-23 cs.AI cs.CR
Empirical Analysis of Evasion and Poisoning Against Malware Data Drift Detection
University of Toronto（多伦多大学）；Vector Institute（矢量研究所）
本研究实证分析了针对恶意软件数据漂移检测器与恶意软件分类器组合的规避、投毒攻击，发现数据漂移检测器的独特特性会使针对恶意软件分类器的攻击产生不同效果。
2026-08-13 cs.CR
PDF-Malware: An Overview on Threats, Detection and Evasion Attacks
Université Polytechnique Hauts-De-France（上法兰西理工大学）；CNRS（法国国家科学研究中心）
近年来，可移植文档格式（Portable Document Format，简称PDF）已成为文档交换和传播的民主化标准。这种趋势是由于其灵活性和跨平台可移植性等特性。PDF的广泛使用在良性用户中建立了固有安全的错误印象。然而，PDF的特性促使黑客利用各种类型的漏洞，克服安全保障措施，从而使PDF格式成为最有效的恶意代码攻击载体之一。因此，有效地检测恶意PDF文件是至关重要的信息安全。在文献中已经提出了几种分析技术，无论是静态的还是动态的，以提取允许区分恶意软件文件和良性文件的主要特征。由于经典的分析技术在零日的情况下可能受到限制，因此基于机器学习的技术最近已经作为能够从一组训练样本中概括的自动PDF恶意软件检测方法出现。这些技术本身面临着规避攻击的挑战，其中恶意PDF被转换为看起来是良性的。在这项工作中，我们给出了一个概述的PDF恶意软件检测问题。我们对新的挑战和新兴的解决方案提出了看法。
2021-07-27 cs.AI cs.CR
A Large Language Model Approach to Generating Bypass Rules for Malware Evasion in Analysis Sandbox
Louisiana State University（路易斯安那州立大学）
本文提出了一种基于大型语言模型的方法，用于自动生成绕过沙箱环境中的恶意软件规避检查的YARA规则，通过分析恶意软件的执行轨迹并采用多种推理策略生成针对性的绕过规则，最终在多个真实恶意软件样本上实现了79%的绕过成功率。
2026-05-20 cs.CR
Effectiveness of Adversarial Benign and Malware Examples in Evasion and Poisoning Attacks
本文研究良性对抗样本在恶意软件检测逃避与投毒攻击中的有效性，通过修改现有生成器证明其与恶意样本同样有效，且在投毒攻击中影响更大，揭示了新的安全威胁。
2025-01-19 cs.CR
Intra-Section Code Cave Injection for Adversarial Evasion Attacks on Windows PE Malware File
本研究提出节内代码洞穴注入的Windows PE恶意软件对抗规避方法，搭配代码加载器保留恶意软件功能，针对MalConv和MalConv2检测器实现了远高于追加式攻击的规避率。
2024-03-11 cs.CR
Malware Dynamic Analysis Evasion Techniques: A Survey
网络世界被不断发展的恶意软件所困扰，这些恶意软件很容易渗透到所有防御机制中，在用户不知情的情况下恶意操作，并秘密泄露敏感数据。了解这种恶意软件的内部工作原理可以有效地打击它们。这种理解是通过手动或自动进行的动态分析来实现的。因此，恶意软件作者已经设计并改进了规避技术来阻止或规避这些分析。在本文中，我们提出了一个全面的调查恶意软件动态分析规避技术。此外，我们提出了这些技术的详细分类，并进一步展示了它们的有效性如何针对不同类型的检测和分析方法。我们的观察证明，逃避行为主要是在检测和逃避沙箱。我们认为这种恶意软件的主要策略是指纹识别，其次是反向图灵测试策略的新趋势，旨在检测人类的互动。此外，我们将指出，目前的防御策略从反应性方法开始，努力建立更透明的分析系统，很容易被零日指纹技术或其他规避策略（如拖延）挫败。因此，我们建议采取更通用的防御策略，重点是路径探索技术，这些技术有可能挫败所有的规避战术。
2018-11-03 cs.CR
Malware Evasion Attack and Defense
McAfee（迈克菲）
机器学习（ML）分类器容易受到对抗性样本的影响。一个对抗性的例子是一个输入样本，它被稍微修改以在ML分类器中引起错误分类。在这项工作中，我们调查白盒和灰盒规避攻击ML为基础的恶意软件检测器，并在现实世界中进行性能评估。我们比较了防御方法在减轻攻击。我们提出了一个框架，部署灰盒和黑盒攻击的恶意软件检测系统。
2019-04-16 cs.CR cs.LG stat.ML
Antiforensic techniques deployed by custom developed malware in evading anti-virus detection
恶意软件和防病毒检测工具的功能都有所提高。恶意软件的目的是逃避检测，而防病毒是检测恶意软件。随着时间的推移，检测技术从简单的静态签名匹配反启发式分析发展到机器学习辅助算法。本文描述了恶意软件部署的几层防病毒规避措施，并对规避成功率进行了分析。本研究的科学贡献在于恶意软件使用的以下技术-用于识别Windows操作系统功能的新算法，新的自定义开发的混淆和去混淆例程以及在反启发式检测中使用USB和声音设备枚举。新的PE突变引擎促进了恶意软件静态签名的变化。在评估的下一阶段，反病毒引擎将测试恶意软件规避能力。本地安装的防病毒应用程序和两个多扫描程序在线引擎检查提交的恶意软件样本。论文检验了结果，并讨论了每种逃避技术的优点和缺点。
2019-06-14 cs.CR
MalPurifier: Enhancing Android Malware Detection with Adversarial Purification against Evasion Attacks
School of Cyber Science and Engineering, Southeast University, Purple Mountain Laboratories, and Jiangsu Province Engineering Research Center of Security for Ubiquitous Network（网络 ubiquity 安全江苏省工程研究中心、紫金山实验室、东南大学网络科学与工程学院）
MalPurifier提出一种基于对抗净化的Android恶意软件检测防御框架，通过多样化扰动、噪声注入和双目标DAE，在37种逃避攻击下保持90.91%以上的鲁棒准确率。
2025-06-22 cs.AI cs.CR cs.LG
Building an Adversarial Malware Dataset by Family and Type: Generation, Evasion, and Poisoning Evaluation
Department of Information Security, Faculty of Information Technology, Czech Technical University in Prague（信息安全系，信息技术学院，布拉格捷克技术大学）
基于RawMal-TF真实恶意软件数据集，使用对抗性生成器构建家族和类型标记的对抗性PE文件，评估逃避率和投毒攻击影响。
2026-05-25 cs.CR cs.LG
When the Guard failed the Droid: A case study of Android malware
Android恶意软件是全球数十亿用户的持续威胁。作为一种对策，偶尔会实施Android恶意软件检测系统。然而，这些系统通常易受\emph{evasion attacks}攻击，在这种攻击中，攻击者操纵恶意实例，从而将它们误认为是良性的。在本文中，我们针对几个Android恶意软件检测系统推出了各种创新的规避攻击。所有这些系统固有的漏洞是，它们是Androguard~ \cite{desnos2011androguard}的一部分，这是一个流行的开源库，用于Android恶意软件检测系统。一些检测系统在攻击后检测率下降到0。因此，在恶意软件检测系统中使用开源库需要谨慎。此外，我们提出了一种新的评估方案规避攻击生成，利用已知的Android恶意软件检测系统的弱点。通过这样做，我们评估了规避攻击所创建的操纵实例的功能和恶意性。我们发现，在恶意和功能测试我们操纵的应用程序的变化。我们表明，非功能性的应用程序，而被认为是恶意的，不威胁用户，因此从攻击者的角度来看是无用的。我们的结论是，规避攻击必须评估功能和恶意，以评估其影响，这是一个步骤，这是远远不常见的今天。
2020-03-31 cs.CR
Explainability Guided Adversarial Evasion Attacks on Malware Detectors
本文提出利用SHAP可解释性识别PE恶意软件中对MalConv检测决策影响最大的区域，并据此在最优位置注入对抗扰动以增强逃逸攻击效率。
2024-05-02 cs.CR
Semantic-preserving Reinforcement Learning Attack Against Graph Neural Networks for Malware Detection
Penn State University（宾夕法尼亚州立大学）；Pusan National University（釜山国立大学）；Fudan University（复旦大学）
随着越来越多的基于深度学习的恶意软件扫描器被提出，现有的规避技术，包括代码混淆和多态恶意软件，被发现是不太有效的。在这项工作中，我们提出了一个基于强化学习的语义保持（即功能保持）攻击黑盒GNN（图形神经网络）的恶意软件检测。通过语义Nops插入生成对抗性恶意软件的关键因素是选择合适的语义Nops及其对应的基本块。所提出的攻击使用强化学习来自动做出这些“如何选择”的决定。为了评估攻击，我们训练了两种GNN，它们有五种类型（即，后门，木马下载器，木马勒索，广告软件和蠕虫）的Windows恶意软件样本和各种良性的Windows程序。测试结果表明，该攻击方法的规避率明显高于三种基本攻击方法，即保持语义的随机指令插入攻击、保持语义的累积指令插入攻击和保持语义的基于梯度的指令插入攻击.
2022-03-16 cs.AI cs.CR
Flow-based detection and proxy-based evasion of encrypted malware C2 traffic
已知最先进的深度学习技术容易受到规避攻击，其中从恶性样本生成对抗样本并将其误分类为良性。基于TCP/IP流特征的加密恶意软件命令和控制流量的检测可以被构造为学习任务，因此容易受到规避攻击。然而，与例如在图像处理中所生成的对抗样本可以直接映射到图像不同，从流特征到实际TCP/IP分组需要制作分组序列，而没有建立用于这种制作的方法以及对这种制作允许的可修改特征集的限制。在本文中，我们讨论了生成和制作的对抗样本之间的差距的学习和逃避后果。我们使用一个在公共C2流量数据集上训练的深度神经网络检测器，白盒对抗学习和一种基于代理的方法来制作更长的流量。我们的研究结果表明：1）当使用精心制作的对抗样本时，通过在检测器上使用生成的对抗样本获得的高逃避率可以显着降低; 2）通过模型硬化对抗对抗样本的鲁棒性根据精心制作的方法和相应的攻击允许的可修改特征集而变化; 3）用对抗性样本递增地训练硬化模型可以产生一个公平的竞争环境，其中没有检测器对所有攻击都是最好的，也没有攻击对所有检测器都是最好的，在给定的攻击和检测器中。据我们所知，这是第一次在加密的C2恶意软件流量检测中分析公平竞争的功能集和迭代硬化。
2020-09-02 cs.CR
PAD: Towards Principled Adversarial Malware Detection Against Evasion Attacks
Nanjing University of Posts and Telecommunications（南京邮电大学）；Nanjing Institute of Technology（南京工程学院）；University of Colorado Colorado Springs（科罗拉多大学斯普林斯分校）
本文提出PAD对抗训练框架，通过可学习凸度量量化分布级离散扰动并提供收敛保证，在两个Android恶意软件数据集上显著提升防御效果，抵御27种规避攻击时检测准确率超83.45%，无攻击时准确率下降小于2.16%。
2023-04-06 cs.CR cs.LG stat.ML
Single-Shot Black-Box Adversarial Attacks Against Malware Detectors: A Causal Language Model Approach
University of Arizona（亚利桑那大学）；University of South Florida（南佛罗里达大学）
基于深度学习（DL）的恶意软件检测器越来越多地被用于网络安全中恶意行为的早期检测。然而，它们对对抗性恶意软件变体的敏感性引发了巨大的安全问题。防御者生成这种对抗性变体对于提高基于DL的恶意软件检测器对它们的抵抗力至关重要。这种必要性已经引起了机器学习研究的新兴流，对抗性恶意软件示例生成（AMG），其旨在生成保留给定恶意软件的恶意功能的规避性对抗性恶意软件变体。在AMG研究中，黑盒方法比白盒方法得到了更多的关注。然而，大多数黑盒AMG方法需要与恶意软件检测器进行多次交互，以生成对抗性恶意软件示例。鉴于大多数恶意软件检测器强制执行查询限制，这可能会导致生成不现实的对抗性示例，由于缺乏隐身性，这些示例在实践中可能会被检测到。在这项研究中，我们证明了一种新的基于DL的因果语言模型能够实现单发逃避（即，只有一个对恶意软件检测器的查询），这是通过将恶意软件可执行文件的内容作为字节序列处理并训练生成预训练Transformer（GPT）来实现的。我们提出的方法，MalGPT，显着优于领先的基准方法从VirusTotal获得的真实世界的恶意软件数据集，达到超过24.51%的规避率。MalGPT使网络安全研究人员能够通过模拟大规模的真实AMG来开发先进的防御能力。
2021-12-03 cs.AI cs.CR
Towards Certified Malware Detection: Provable Guarantees Against Evasion Attacks
Department of Computer Applications, Cochin University of Science and Technology（计算机应用系，科钦大学科学与技术学院）；Department of Electrical, Computer and Biomedical Engineering, University of Pavia（电气、计算机与生物医学工程系，帕维亚大学）
本文提出基于随机平滑的可信恶意软件检测框架，通过特征剥离和目标噪声注入，提供对抗逃避攻击的可证明鲁棒性。
2026-04-22 cs.CR cs.LG
Problem-Space Evasion Attacks in the Android OS: a Survey
Android是全球最受欢迎的操作系统。因此，它是各种恶意软件的目标。作为一种对策，安全社区夜以继日地开发适当的Android恶意软件检测系统，其中基于ML或基于DL的系统被认为是最常见的类型。针对这些检测系统，智能对手开发了一系列规避攻击，其中攻击者稍微修改恶意软件样本以逃避其目标检测系统。在本调查中，我们解决了Android操作系统中的问题空间规避攻击，攻击者操纵实际的APK，而不是其提取的特征向量。我们的目标是探索这类攻击，由于缺乏对Android领域的了解，或者由于专注于一般的数学规避攻击，这类攻击经常被研究社区忽视-即，特征空间规避攻击我们讨论了问题空间规避攻击的不同方面，使用一种新的分类法，它侧重于每个问题空间攻击的关键成分，如攻击者模型，攻击者的操作模式，以及攻击后应用程序的功能评估。
2022-06-21 cs.CR
Evasion of IoT Malware Detection via Dummy Code Injection
University of Texas at Arlington（德克萨斯大学阿灵顿分校）
本文提出通过伪代码注入逃避基于功率侧信道的恶意软件检测，揭示了现有检测框架的漏洞。
2026-02-09 cs.CR cs.LG
EvadeDroid: A Practical Evasion Attack on Machine Learning for Black-box Android Malware Detection
Radboud University（拉德堡德大学）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出 EvadeDroid，一种基于良性捐赠应用变换和查询高效优化的黑盒问题空间攻击，可在极少查询下规避多种 Android 恶意软件检测器及商业杀毒软件。
2024-01-25 cs.CR cs.LG
Binary Black-box Evasion Attacks Against Deep Learning-based Static Malware Detectors with Adversarial Byte-Level Language Model
The University of Arizona（亚利桑那大学）；Covax Data Inc.（Covax Data公司）
反恶意软件引擎是防御恶意软件的第一道防线。虽然被广泛使用，但基于功能工程的反恶意软件引擎容易受到看不见的（零日）攻击。最近，基于深度学习的静态反恶意软件检测器在识别看不见的攻击方面取得了成功，而无需特征工程和动态分析。然而，这些检测器容易受到具有轻微扰动的恶意软件变体的影响，称为对抗性示例。生成有效的对抗性示例有助于揭示此类系统的脆弱性。用于发起这种攻击的当前方法需要访问目标反恶意软件模型的规范、反恶意软件响应的置信度分数或动态恶意软件分析，这要么是不现实的要么是昂贵的。我们提出了MalRNN，这是一种基于深度学习的新方法，可以自动生成规避恶意软件变体，而无需任何这些限制。我们的方法具有对抗性示例生成过程，该过程通过生成序列到序列递归神经网络来学习语言模型以增强恶意软件二进制文件。MalRNN有效地避开了三种最近基于深度学习的恶意软件检测器，并优于当前的基准方法。讨论了将我们的MalRNN应用于具有八个恶意软件类别的真实数据集的结果。
2020-12-14 cs.CR cs.LG
Adversarial Deep Ensemble: Evasion Attacks and Defenses for Malware Detection
Nanjing University of Science and Technology（南京理工大学）
恶意软件仍然是网络安全的一大威胁，需要基于机器学习的恶意软件检测。虽然很有前途，但已知这种检测器容易受到规避攻击。包围学习通常有助于采取对策，而攻击者也可以利用这种技术来提高攻击效率。这促使我们研究集成防御的鲁棒性或集成攻击的有效性，特别是当它们相互攻击时。因此，我们提出了一种新的攻击方法，命名为混合攻击，使攻击者能够多个生成方法和多个操作集，扰乱恶意软件的例子，而不会破坏其恶意功能。这自然会导致对抗性训练的新实例化，从而进一步增强深度神经网络的整体。我们使用Android恶意软件检测器对两个实际数据集上的26种不同攻击进行防御评估。实验结果表明，新的对抗性训练显著增强了深度神经网络对各种攻击的鲁棒性，当基分类器足够鲁棒时，集成方法可以提高鲁棒性，但集成攻击可以有效地避开增强的恶意软件检测器，甚至显着降低了VirusTotal服务。
2020-06-30 cs.CR cs.LG stat.ML
SAFE-PDF: Robust Detection of JavaScript PDF Malware Using Abstract Interpretation
PDF格式的流行和PDF查看器提供的丰富的JavaScript环境使PDF文档成为恶意软件开发人员的一个有吸引力的攻击媒介。PDF文档对组织的安全性构成了严重威胁，因为大多数用户对它们毫无戒心，因此可能会打开来自不受信任来源的文档。我们建议通过使用保守的抽象解释来静态推理嵌入式JavaScript代码的行为来识别恶意PDF。目前，最先进的工具：（1）基于与已知恶意样本的结构相似性静态识别PDF恶意软件;或（2）动态执行代码以检测恶意行为。这两种方法容易受到规避攻击，这些攻击模仿良性文档的结构，或者在动态分析时不会表现出恶意行为。相反，抽象解释对这两种类型的回避都是不敏感的。与两种最先进的PDF恶意软件检测工具的比较表明，我们保守的抽象解释方法实现了类似的准确性，同时更能抵御规避攻击。
2018-10-30 cs.CR
Learning to Look Benign: Targeted Evasion of Malware Detectors via API Import Injection
Institute of Data Science and Digital Technologies, Faculty of Mathematics and Informatics, Vilnius University（数据科学与数字技术研究所，数学与信息学学院，维尔纽斯大学）
本文研究了通过添加少量特定良性软件类别的Win32 API导入，将恶意软件样本故意误分类为特定良性类别而非仅仅非恶意软件的可能性。提出了一种基于条件变分自编码器（CVAE）的框架，其解码器严格加法，能够引入新的API调用但不移除现有调用，从而保留恶意软件功能。对于每个恶意软件样本，该框架自动识别其最接近的良性类别并将其作为逃避目标。
2026-05-18 cs.CR cs.LG
Query-Free Evasion Attacks Against Machine Learning-Based Malware Detectors with Generative Adversarial Networks
针对黑盒恶意软件检测器现有攻击依赖模型信息或大量查询的问题，提出一种无查询、模型无关的GAN框架，生成更逼真的对抗样本并降低多类检测器及VirusTotal引擎的检出率。
2023-06-16 cs.CR
MAB-Malware: A Reinforcement Learning Framework for Attacking Static Malware Classifiers
现代商业防病毒系统越来越依赖于机器学习来跟上新恶意软件的猖獗膨胀。然而，众所周知，机器学习模型容易受到对抗性示例（AE）的影响。以前的工作表明，ML恶意软件分类器是脆弱的白盒对抗攻击。然而，商业防病毒产品中使用的ML模型通常对攻击者不可用，只返回硬分类标签。因此，以纯黑盒的方式评估ML模型和真实世界AV的鲁棒性更实际。我们提出了一个基于黑盒强化学习（RL）的框架来生成AE的PE恶意软件分类器和AV引擎。该算法将对抗攻击问题看作是一个多臂强盗问题，在利用成功模式和探索更多多样性之间找到了一个最优平衡。与其他框架相比，我们的改进在于三点。1)通过将生成过程建模为无状态过程来限制探索空间，以避免组合爆炸。2)由于有效载荷在AE生成中的关键作用，我们设计在建模中重用成功的有效载荷。3)最小化AE样本的变化，以正确分配RL学习中的奖励。它还有助于确定逃避的根本原因。因此，我们的框架比其他现成的框架具有更高的黑盒规避率。实验结果表明，在纯黑盒环境下，该算法对两种最大似然检测器的回避率在74%~ 97%之间，对商用AV的回避率在32%~ 48%之间.我们还证明了基于ML的分类器之间的对抗攻击的可转移性高于纯粹基于ML和商业AV之间的攻击可转移性。
2021-04-29 cs.CR
Longitudinal Study of the Prevalence of Malware Evasive Techniques
就其本质而言，恶意软件样本采用各种技术来隐藏其恶意行为并将其隐藏在分析工具之外。为了缓解这个问题，多年来已经记录了大量不同的规避技术，并且已经在公共框架中收集了JavaScript实现，比如流行的Al-Khaser。由于恶意软件作者倾向于重用现有方法，因此在不同系列的恶意软件样本中观察到相同的规避技术是常见的。然而，迄今为止尚未进行计量研究，以评估规避技术的采用和流行程度。在本文中，我们提出了一个大规模的研究，通过动态分析超过180K的Windows恶意软件样本，多年来规避技术的演变。为了进行实验，我们开发了一个自定义的基于引脚的规避程序分析器（胡椒），一个工具，能够检测和规避53个不同类别的反动态分析技术，从反调试到虚拟机检测。为了从不同的角度观察规避现象，我们采用了四种不同的数据集，包括良性文件，高级持续威胁（APT），五年内收集的恶意软件样本，以及最近在一个月内提交给VirusTotal的不同家族的集合。
2021-12-21 cs.CR
Enhancing Malware Fingerprinting through Analysis of Evasive Techniques
本文通过分析400万个Windows PE文件中的规避技术，揭示传统指纹识别的局限性，并提出两种改进方法，将恶意软件变种识别率从20%提升至50%以上。
2025-03-09 cs.CR
MDEA: Malware Detection with Evolutionary Adversarial Learning
恶意软件检测已经使用机器学习来检测程序中的恶意软件。这些应用程序将原始或处理后的二进制数据输入神经网络模型，以将其分类为良性或恶意文件。尽管这种方法已被证明对动态变化有效，例如加密、混淆和打包技术，但它容易受到特定的规避攻击，其中输入数据中的小变化在测试时导致误分类。本文提出了一种新的方法：MDEA，一种对抗性恶意软件检测模型，使用进化优化来创建攻击样本，使网络对逃避攻击具有鲁棒性。通过使用演化的恶意软件样本重新训练模型，其性能显著提高。
2020-04-17 cs.CR cs.NE
The Naked Sun: Malicious Cooperation Between Benign-Looking Processes
Sapienza Università di Roma（罗马第一大学）；Worcester Polytechnic Institute（伍斯特理工学院）
机器学习的最新进展在行为恶意软件检测方面产生了有希望的结果。行为建模通过恶意进程的运行时行为衍生的特征来识别恶意进程。行为特征有很大的希望，因为它们与每个恶意软件的功能本质上相关，因此被认为很难逃避。事实上，虽然在规避静态恶意软件特征方面存在大量结果，但规避动态特征的工作有限。本文深入研究了行为恶意软件检测器对规避的鲁棒性，特别关注反勒索软件规避。我们之所以选择勒索软件，是因为它的行为往往与良性进程的行为显著不同，这使其成为行为检测的一个容易实现的目标（也是一个难以规避的候选对象）。我们的分析确定了一组新的攻击，分布在一小组合作进程的整体恶意软件的工作负载，以避免产生显着的行为特征。我们最有效的攻击仅使用18个协作进程就将最先进的分类器的准确率从98.6%降低到0%。此外，我们证明了我们的攻击即使在黑盒设置中也能有效对抗商业勒索软件检测器。
2019-11-06 cs.CR cs.LG
EGAN: Evolutional GAN for Ransomware Evasion
Texas A&M University（德克萨斯农工大学）；Ho Technical University（霍理工大学）；Building & Road Research Institute（建筑与道路研究所）
针对对抗训练所需对抗恶意样本需兼具规避性与功能性的难题，提出结合进化策略和GAN的EGAN框架，可变异勒索软件并保留功能，实验证明能绕过多数VirusTotal上的AI商用杀毒软件，也能提升对部分非AI商用杀毒软件的规避概率。
2024-05-20 cs.AI cs.CR cs.LG
Improving Robustness of ML Classifiers against Realizable Evasion Attacks Using Conserved Features
Washington University in St. Louis（圣路易斯华盛顿大学）；UIUC（伊利诺伊大学厄巴纳-香槟分校）；Ariel University（阿里埃勒大学）；University of Michigan（密歇根大学）
机器学习（ML）技术在安全应用中越来越常见，例如恶意软件和入侵检测。然而，ML模型通常容易受到规避攻击的影响，其中对手对输入（例如恶意软件）进行更改以避免被检测到。评估ML对此类攻击的鲁棒性以及设计鲁棒ML的传统方法是通过考虑简化的攻击特征空间模型，其中攻击者直接改变ML特征以实现规避，同时最小化或限制这种变化的幅度。我们研究了这种方法在面对可以在实际恶意软件中实现的攻击（可实现的攻击）时设计鲁棒ML的有效性。我们证明，在基于结构的PDF恶意软件检测的上下文中，这样的技术似乎有有限的有效性，但他们是有效的基于内容的检测器。在这两种情况下，我们表明，增加保守的功能（那些不能单方面修改而不损害恶意功能）的特征空间模型显着提高性能。最后，我们表明，特征空间模型，使广义的鲁棒性时，面对各种可实现的攻击，相比，被调整到一个特定的可实现的攻击是强大的分类器。
2019-05-10 cs.CR cs.LG
Adversarial Co-Evolution of Malware and Detection Models: A Bilevel Optimization Perspective
Faculty of Information Technology, Czech Technical University in Prague（信息技术学院，布拉格捷克技术大学）
本文提出基于双层优化的鲁棒防御框架，通过建模防御者与攻击者之间的对抗共进化过程，有效提升恶意软件检测系统的抗攻击能力，实验表明其能显著降低攻击成功率。
2026-04-24 cs.CR cs.LG
Improving Adversarial Robustness in Android Malware Detection by Reducing the Impact of Spurious Correlations
Radboud University（拉德堡德大学）；Xi’an Jiaotong University（西安交通大学）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出一种领域自适应技术，通过构建鲁棒特征空间对齐恶意软件样本与对抗样本分布，减少虚假相关性影响，在DREBIN上相较Sec-SVM将对抗鲁棒性提升最高55%。
2024-08-27 cs.CR cs.LG cs.SE
Against All Odds: Winning the Defense Challenge in an Evasion Competition with Diversification
Technische Universität Braunschweig（布伦瑞克工业大学）
用于恶意软件检测的基于机器学习的系统在恶劣的环境中运行。因此，攻击者也将针对学习系统，并使用规避攻击来绕过恶意软件的检测。在本文中，我们概述了我们的学习为基础的系统PEberus，获得了第一名，在防御者的挑战，微软逃避竞争，抵御各种攻击的独立攻击者。我们的系统结合了多种多样的防御：我们解决了语义差距，使用各种分类模型，并应用有状态防御。这场比赛给了我们一个独特的机会，在现实的情况下研究规避攻击。它还强调了现有的机器学习方法可以通过彻底分析攻击面和实施对抗性学习的概念来加强对攻击的防御。我们的辩护可以作为未来加强安全学习研究的额外基线。
2020-10-19 cs.CR cs.LG
Explainability-Guided Adversarial Attacks on Transformer-Based Malware Detectors Using Control Flow Graphs
Tennessee Tech University（田纳西理工大学）；University of Nebraska Omaha（内布拉斯加大学奥马哈分校）
本文研究了基于变换器的恶意软件检测器在对抗性逃逸攻击中的脆弱性，提出了一种利用可解释性机制的白盒对抗攻击方法，通过扰动关键图组件来诱导误分类。
2026-04-04 cs.CR cs.LG
Yes, Machine Learning Can Be More Secure! A Case Study on Android Malware Detection
为了应对现代攻击日益增加的可变性和复杂性，机器学习已被广泛采用作为恶意软件检测的可靠工具。然而，其针对精心设计的攻击的安全性不仅最近受到质疑，而且已经表明，机器学习表现出固有的漏洞，可以在测试时被利用来逃避检测。换句话说，机器学习本身可能是安全系统中最薄弱的环节。在本文中，我们依靠以前提出的攻击框架，通过对具有不同技能和能力的攻击者进行建模，对基于学习的恶意软件检测工具的潜在攻击场景进行分类。然后，我们定义并实现了一组相应的规避攻击，以彻底评估Drebin，Android恶意软件检测器的安全性。这项工作的主要贡献是提出了一个简单且可扩展的安全学习范式，该范式减轻了规避攻击的影响，同时在没有攻击的情况下只会略微恶化检测率。最后，我们认为，我们的安全学习方法也可以很容易地应用到其他恶意软件检测任务。
2017-04-28 cs.CR
Can We Leverage Predictive Uncertainty to Detect Dataset Shift and Adversarial Examples in Android Malware Detection?
检测恶意软件（malware）的深度学习方法很有前途，但尚未解决数据集偏移的问题，即与测试集相关联的示例及其标签的联合分布与训练集的不同。这个问题会导致深度学习模型在用户未察觉的情况下退化。为了缓解这个问题，一种方法是让分类器不仅预测给定示例上的标签，而且还在预测的标签上呈现其不确定性（或置信度），从而防御者可以决定是否使用预测的标签。虽然直观和明显的重要性，这种方法的能力和局限性还没有得到很好的理解。在本文中，我们进行了实证研究，以评估恶意软件检测器的预测不确定性的质量。具体来说，我们重新设计和构建了24个Android恶意软件检测器（通过使用6种校准方法改造4个现成的检测器），并使用9个指标量化其不确定性，其中包括3个处理数据不平衡的指标。我们的主要发现是：（i）预测不确定性确实有助于在存在数据集移位的情况下实现可靠的恶意软件检测，但不能应对对抗性逃避攻击;（ii）近似贝叶斯方法有望校准和推广恶意软件检测器以应对数据集移位，但不能应对对抗性逃避攻击;（iii）对抗性规避攻击可以使校准方法无用，并且量化与对抗性示例的预测标签相关联的不确定性是一个开放的问题（即，使用预测不确定性来检测对抗性示例是无效的）。
2021-10-20 cs.CR stat.ML
Android Malware Detection: an Eigenspace Analysis Approach
随着融合了日益复杂的规避技术的新菌株的出现，缓解Android恶意软件的战斗变得更加关键，这反过来又需要更先进的检测功能。因此，在本文中，我们提出并评估了一个基于机器学习的方法，基于特征空间分析的Android恶意软件检测使用的功能来自Android应用程序的静态分析表征。实际恶意软件和良性样本数据集的实证评估表明，使用该方法可以实现超过96%的检测率和非常低的误报率。
2016-07-27 cs.CR
Breaking Windows Malware Detection: A Comprehensive Evaluation of Problem-Space Adversarial Robustness
University of Luxembourg（卢森堡大学）；University College London（伦敦大学学院）
本研究统一大规模评估了九种逃逸攻击对八款Windows恶意软件检测器的对抗鲁棒性，发现脆弱性取决于模型表示和攻击类型，最强攻击用更少变换获更高成功率，且对抗加固难以跨攻击迁移。
2026-09-29 cs.CR
Static Malware Detection & Subterfuge: Quantifying the Robustness of Machine Learning and Current Anti-Virus
Laboratory for Physical Sciences（物理科学实验室）；Booz Allen Hamilton（博思艾伦咨询公司）；University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）；U.S. Army（美国陆军）
随着基于机器学习（ML）的恶意软件检测系统变得越来越普遍，有必要量化与当今广泛使用的更传统的反病毒（AV）系统相比的优势。建立一个商定的测试集来对纯分类性能的恶意软件检测系统进行基准测试是不切实际的。相反，我们通过创建一种新的测试方法来解决这个问题，在这种方法中，我们评估了一组已知的良性和恶意文件在执行对抗性修改时的性能变化。性能的变化与规避技术相结合，然后量化系统对该方法的鲁棒性。通过这些实验，我们能够以可量化的方式展示纯粹基于ML的系统在检测试图通过修改逃避的恶意软件方面如何比AV产品更强大，但在面对新的攻击时可能会更慢。
2018-06-12 cs.CR cs.LG stat.ML
Adversarial Detection of Flash Malware: Limitations and Open Issues
在过去的四年中，Flash恶意软件已经成为最隐蔽的威胁之一，近600个针对Adobe Flash的关键漏洞被公开。研究表明，通过利用静态分析从文件或其字节码的结构中提取信息，机器学习可成功用于检测Flash恶意软件。然而，Flash恶意软件检测器对精心设计的规避尝试（也称为对抗性示例）的鲁棒性从未被研究过。在本文中，我们提出了一种新的，有代表性的Flash检测器，嵌入了一个国家的最先进的工具所采用的突出的，静态的功能相结合的安全评估。特别是，我们讨论了如何制作对抗性Flash恶意软件的例子，表明它足以稍微操纵相应的源恶意软件样本，以逃避检测。然后，我们根据经验证明，为减轻逃避尝试而提出的流行防御技术，包括对抗性示例的重新训练，可能并不总是足以确保鲁棒性。我们认为，当从对抗性样本中提取的特征向量与良性数据的特征向量无法区分时，就会发生这种情况，这意味着给定的特征表示本质上是脆弱的。在这方面，我们是第一个正式定义和定量描述此漏洞的人，强调何时可以通过单独提高学习算法的安全性来应对攻击，或者何时还需要考虑其他功能。最后，我们提出了替代的研究方向，以提高基于学习的Flash恶意软件检测器的安全性。
2020-07-14 cs.CR
Towards an Automated Pipeline for Detecting and Classifying Malware through Machine Learning
Università degli Studi di Torino（都灵大学）；aizoOn Technology Consulting（aizoOn技术咨询公司）
恶意软件-对计算机和信息网络可能有害的软件或代码片段-数量的不断增长以及复杂的规避和混淆技术的使用严重阻碍了传统的基于签名的方法。另一方面，基于机器学习技术的恶意软件检测系统开始为标准方法提供有前途的替代方案，大大减少了分析时间，并对规避和混淆技术更加强大。在本文中，我们提出了一个恶意软件分类分类管道能够分类Windows便携式可执行文件（PE）。给定一个输入PE样本，它首先被分类为恶意或良性。如果是恶意的，管道会进一步分析它，以确定其威胁类型、家族和行为。我们在开源数据集EMBER上测试了所提出的管道，该数据集包含大约100万个PE样本，通过静态分析进行分析。所获得的恶意软件检测结果与当前最先进的其他学术著作相当，此外，我们还提供了对恶意样本的深入分类。管道中使用的模型提供了可解释的结果，可以帮助安全分析师更好地理解自动化管道所做的决策。
2021-06-10 cs.CR cs.LG
Adversarial Feature Selection against Evasion Attacks
South China University of Technology（华南理工大学）；University of Cagliari（卡利亚里大学）
模式识别和机器学习技术已越来越多地用于对抗性设置，如垃圾邮件、入侵和恶意软件检测，尽管它们针对精心设计的攻击的安全性尚未得到彻底评估，这些攻击旨在通过在测试时操纵数据来逃避检测。虽然以前的工作主要集中在设计对手感知的分类算法来对抗逃避尝试，但只有少数作者考虑了使用减少的特征集对分类器安全性的影响。一个有趣的，初步的结果是，分类安全规避可能会恶化的应用程序的特征选择。在本文中，我们提供了一个更详细的调查，这方面的特征选择对规避攻击的安全属性，脱落一些光。受以往工作的启发，对手意识的分类器，我们提出了一种新的对手意识的特征选择模型，可以提高分类器的安全性规避攻击，通过将具体的假设对手的数据操作策略。我们专注于一个高效的，基于包装的实现我们的方法，并通过实验验证其合理性不同的应用程序的例子，包括垃圾邮件和恶意软件检测。
2020-05-25 cs.CR cs.LG stat.ML
EthClipper: A Clipboard Meddling Attack on Hardware Wallets with Address Verification Evasion
硬件钱包旨在通过将其私钥与网络空间隔离来抵御恶意软件攻击，但它们容易受到存储在剪贴板中的伪造地址的攻击。为了防止此类攻击，硬件钱包要求用户验证钱包显示屏上显示的收件人地址。由于密码地址是随机符号的长序列，因此它们的手动验证成为一项困难的任务。因此，许多硬件钱包的用户选择只验证地址中的几个符号，这可能会被攻击者利用。在这项工作中，我们介绍了EthClipper，这是一种针对以太坊平台上硬件钱包所有者的攻击。EthClipper恶意软件查询预先挖掘的帐户的分布式数据库，以选择与原始地址具有最大视觉相似性的地址。我们设计并实现了一个EthClipper恶意软件，并在Trezor、Ledger和KeepKey钱包上进行了测试。为了为攻击提供计算和存储资源，我们实现了一个分布式服务ClipperCloud，并在不同的部署环境中对其进行了测试。我们的评估表明，使用现成的PC和NAS存储，攻击者将能够挖掘能够匹配地址中25%数字的数据库，以实现50%的机会找到合适的假地址。为了进行负责任的披露，我们已经联系了攻击评估中使用的硬件钱包的制造商，他们都证实了EthClipper的危险性。
2021-08-31 cs.CR
Cloak and Detonate: Scanner Evasion and Dynamic Detection of Agent Skill Malware
Hong Kong University of Science and Technology（香港科技大学）；Guangzhou HKUST Fok Ying Tung Research Institute, China（广州HKUST福耀高等研究院）
针对LLM编码代理技能市场中的恶意技能，提出两种规避静态扫描的方法（结构混淆和自提取技能打包），并设计基于沙箱运行时行为审计的检测系统SkillDetonate，实现97%检测率与2%误报率。
2026-07-03 cs.CR cs.SE
Measuring and Explaining the Effects of Android App Transformations in Online Malware Detection
本文提出数据驱动方法，通过六种Android应用变换、一个月VirusTotal跟踪及971K余份报告，分析并解释杀毒引擎检测机制与规避影响。
2025-07-27 cs.CR
A Comparison of Adversarial Learning Techniques for Malware Detection
Czech Technical University in Prague（布拉格捷克技术大学）；Faculty of Information Technology（信息技术学院）；San Jose State University（圣何塞州立大学）
本文针对恶意 Windows PE 文件，比较基于梯度、进化算法和强化学习的对抗样本生成方法，发现 Gym-malware 实用性最强且组合使用逃避率最高。
2023-08-19 cs.CR cs.LG
Adversarial Malware Binaries: Evading Deep Learning for Malware Detection in Executables
机器学习方法已经被用作检测恶意可执行文件的有用工具。它们利用从恶意软件样本中检索到的数据，例如头字段、指令序列甚至原始字节，来学习区分良性软件和恶意软件的模型。然而，也已经表明，机器学习和深度神经网络可以被逃避攻击（也称为对抗性示例）所欺骗，即，对输入数据的小的改变导致测试时的误分类。在这项工作中，我们研究了使用深度网络从原始字节中学习的恶意软件检测方法的漏洞。我们提出了一种基于梯度的攻击，它能够通过在每个恶意软件样本的末尾仅更改几个特定字节来规避最近提出的适合此目的的深度网络，同时保留其侵入性功能。有希望的结果表明，我们的对抗性恶意软件二进制文件以很高的概率逃避目标网络，即使它们的字节只有不到1%被修改。
2018-03-12 cs.CR
On the Effectiveness of Adversarial Training on Malware Classifiers
University of Luxembourg（卢森堡大学）；King’s College London（伦敦大学国王学院）；TU Wien（维也纳技术大学）；University College London（伦敦大学学院）；Ruhr University Bochum（波鸿鲁尔大学）
本文提出Rubik框架系统评估对抗训练在恶意软件分类中的有效性，揭示模型架构和特征空间结构对鲁棒性的影响，并提出实践建议。
2025-11-26 cs.CR cs.LG
Omni: Automated Ensemble with Unexpected Models against Adversarial Evasion Attack
North Carolina State University（北卡罗来纳州立大学）
背景：基于机器学习的安全检测模型在现代恶意软件和入侵检测系统中已经变得普遍。然而，以前的研究表明，这种模型容易受到对抗性逃避攻击。在这种类型的攻击中，输入（即，对抗性示例）是由智能恶意对手特别制作的，目的是被现有技术水平的模型错误分类（例如，深度神经网络）。一旦攻击者可以欺骗分类器，使其认为恶意输入实际上是良性的，他们就可以使基于机器学习的恶意软件或入侵检测系统失效。目标：通过集成模型的思想，帮助安全从业者和研究人员构建一个更强大的模型来对抗非自适应、白盒和非针对性的对抗性规避攻击。方法：我们提出了一种名为Omni的方法，其主要思想是探索创建“意外模型”集合的方法;即，模型的控制超参数有一个大的距离对手的目标模型的超参数，我们然后做一个优化的加权集成预测。测试结果：在对五种安全数据集（NSL-KDD，CIC-IDS-2017，CSE-CIC-IDS 2018，CICAnd-Mal 2017和Contagio PDF数据集）进行的五种类型的对抗性规避攻击（FGSM，BIM，JSMA，DeepFool和Carlini-Wagner）的研究中，我们发现与其他基线治疗方法相比，Omni是一种很有前途的对抗对抗攻击的防御策略。结论：当采用集成防御对抗性逃避攻击时，我们建议使用与攻击者的预期模型（即，目标模型）通过超参数优化等方法。
2021-10-12 cs.CR cs.LG
LLM-Driven Feature-Level Adversarial Attacks on Android Malware Detectors
本文提出LAMLAD框架，利用大语言模型生成特征扰动以对抗恶意软件检测器，实验显示攻击成功率高达97%，并提出对抗训练防御策略提升模型鲁棒性。
2025-12-24 cs.AI cs.CR
