تحوير البرمجيات الخبيثة باستخدام التعلم المعزز العميق والشبكات التنافسية التوليدية

الغرض من هذه الأداة هو استخدام الذكاء الاصطناعي لتحوير عينة من البرمجيات الخبيثة (PE32 فقط) لتجاوز المصنفات المدعومة بالذكاء الاصطناعي مع الحفاظ على وظائفها سليمة. في الماضي، تم إجراء أعمال بارزة في هذا المجال، حيث نظر الباحثون إما إلى التعلم المعزز أو الشبكات التنافسية التوليدية كأسلحتهم المفضلة لتعديل حالات برمجية خبيثة قابلة للتنفيذ بهدف خداع وكلاء مكافحة الفيروسات. يستخدم حلنا مزيجًا من التعلم المعزز العميق والشبكات التنافسية التوليدية للتغلب على بعض القيود التي نواجهها عند استخدام هذه الأساليب بشكل مستقل كما هو موضح أدناه.

ابحث عن وثائقنا الكاملة للأداة هنا

تعليمات التثبيت

⚠️ نظرًا لأن هذه الأداة تتعامل مع ملفات البرمجيات الخبيثة، فمن المستحسن بشدة استخدام آلة افتراضية. بعد تثبيت الأداة، تأكد من قطع الاتصال بالشبكة.

سترشدك الخطوات التالية خلال جميع التثبيتات المطلوبة لإعداد البيئة.

1. تثبيت وإعداد Python 3.6.

2. استنساخ المستودع.

   root@kitploit:~

   git clone https://github.com/CyberForce/Pesidious
   

3. الانتقال إلى دليل المشروع.

   root@kitploit:~

   cd Pesidious
   

4. إعداد وتفعيل بيئة افتراضية باستخدام Python 3.6

   يوصى باستخدام بيئة افتراضية لتجنب التعارضات بين الحزم المستخدمة بواسطة تطبيقات مختلفة

5. تأكد من تثبيت وإعداد pip 8.1.1.

   وذلك لأن الإصدارات الأحدث من pip لا تتوافق جيدًا مع مكتبة PyTorch.

   root@kitploit:~

   pip install pip==8.1.1
   

6. تثبيت جميع المكتبات المطلوبة، عن طريق تثبيت ملف requirements.txt.

   root@kitploit:~

   pip install -r pip_requirements/requirements.txt
   

تحوير البرمجيات الخبيثة الخاصة بك

تم بالفعل تخزين مخرجات GAN كـ (RL_Features/adverarial_imports_set.pk و RL_Features/adverarial_sections_set.pk) والتي ستستخدم عند إضافة الواردات والأقسام إلى البرمجية الخبيثة للتحوير.

1. يمكنك اختبار المصنف النموذجي لتقييم ملفات البرمجيات الخبيثة.

   root@kitploit:~

   python classifier.py -d /path/to/directory/with/malware/files
   

2. قم بتشغيل سكريبت mutate.py لتحوير عينات البرمجيات الخبيثة الخاصة بك.

   root@kitploit:~

   python mutate.py -d /path/to/directory/with/malware/files
   

3. سيتم تخزين ملفات البرمجيات الخبيثة المحورة في دليل يسمى Mutated_malware بالتنسيق التالي

   root@kitploit:~

   Mutated_malware/mutated_<name-of-the-file>
   

4. بمجرد تحوير ملفات البرمجيات الخبيثة، يمكنك تشغيل المصنف مرة أخرى لتقييم البرمجيات الخبيثة المحورة.

   root@kitploit:~

   python classifier.py -d Mutated_malware/
   

المشكلات المعروفة والإصلاحات

⚠️ تحذير: هذا القسم قيد الإنشاء حاليًا. نعتذر عن أي إزعاج. يرجى الانتقال إلى القسم التالي. انقر هنا

1. يعطيك pip install -r requirements.txt خطأ.

   الحل:

   root@kitploit:~

   pip install tqdm
   pip install sklearn
   pip install lief
   

2. خطأ ModuleNotFoundError: No module named 'tensorboardX' أثناء تشغيل سكريبت python main_malgan.py.

   الحل:

   root@kitploit:~

   pip install tensorboardX
   

3. خطأ في تنفيذ import-append, section-append (غير موجود)

   الحل: امنح أذونات التنفيذ لهذه الملفات القابلة للتنفيذ باستخدام الأوامر التالية في الطرفية الخاصة بك.

   root@kitploit:~

   cd portable-executable/
   chmod 777 project-add-sections/bin/Debug/project-append-section
   chmod 777 project-add-imports/bin/Debug/project-append-imports
   
   

بني باستخدام

• PyTorch - مكتبة تعلم آلة مفتوحة المصدر مبنية على مكتبة Torch.
• Lief - مكتبة عبر المنصات يمكنها تحليل وتعديل وتجريد تنسيقات ELF و PE و MachO.
• PE Bliss - مكتبة PE لإعادة بناء ملفات PE، مكتوبة بلغة C++.
• Gym-Malware - بيئة معالجة البرمجيات الخبيثة لـ OpenAI's gym.
• MalwareGAN - توليد البرمجيات الخبيثة التنافسية باستخدام GANs.

المؤلفون

• Chandni Vaya - استجابة الحوادث X-Force، IBM Security - Github
• Bedang Sen - استجابة الحوادث X-Force، IBM Security - Github

الإقرارات

• بيئة Gym-Malware: https://github.com/endgameinc/gym-malware. تم تعديل البيئة لإضافة GAN وتمت إضافة/تغيير/إزالة التحويرات لتحسين قدرة البرمجيات الخبيثة على التخفي والحفاظ على الوظائف.
• عمل Yanming Lai (https://github.com/yanminglai/Malware-GAN) و Zayd Hammoudeh (https://github.com/ZaydH/MalwareGAN) على تنفيذ MalGAN الخاص بـ Han و Tan لعب دورًا حاسمًا في فهمنا للهندسة المعمارية. تم استنساخ معظم تنفيذ MalGAN المستخدم في هذا المشروع من عمل Hammoudeh.

المراجع

Anderson, H., Kharkar, A., Filar, B., Evans, D. and Roth, P. (2018). Learning to Evade Static PE Machine Learning Malware Models via Reinforcement Learning. [متاح على الإنترنت] arXiv.org. متاح على: https://arxiv.org/abs/1801.08917.

Docs.microsoft.com. (بدون تاريخ). PE Format - تطبيقات Windows. [متاح على الإنترنت] متاح على: https://docs.microsoft.com/en-us/windows/win32/debug/pe-format#general-concepts.

Fang, Z., Wang, J., Li, B., Wu, S., Zhou, Y. and Huang, H. (2019). Evading Anti-Malware Engines With Deep Reinforcement Learning. [متاح على الإنترنت] Ieeexplore.ieee.org. متاح على: https://ieeexplore.ieee.org/abstract/document/8676031 [تم الوصول في 25 أغسطس 2019].

https://resources.infosecinstitute.com. (2019).

Malware Researcher’s Handbook (Demystifying PE File). [متاح على الإنترنت] متاح على: https://resources.infosecinstitute.com/2-malware-researchers-handbook-demystifying-pe-file/#gref.

Hu, W. and Tan, Y. (2018). Generating Adversarial Malware Examples for Black-Box Attacks Based on GAN. [متاح على الإنترنت] arXiv.org. متاح على: https://arxiv.org/abs/1702.05983.