QuasarNix: Gegnerisch robuste Living-off-the-Land Reverse-Shell Erkennung

Dmitrijs Trizna · Luca Demetrio · Battista Biggio · Fabio Roli

Überblick

Linux Living-off-the-Land (LOTL) Reverse Shells missbrauchen legitime Binärdateien (bash, python, nc, …), um verdeckte ausgehende Verbindungen herzustellen, wodurch signaturbasierte Erkennung gegen neuartige Varianten und Umgehungsversuche unzuverlässig wird. QuasarNix adressiert zwei offene Lücken in diesem Bereich:

1. Keine öffentlichen ML-basierten SIEM-Detektoren — wir veröffentlichen die ersten produktionsreifen, offen lizenzierten ML-Modelle zur LOTL-Reverse-Shell-Erkennung.
2. Gegnerische Fragilität — wir evaluieren Modelle unter Evasion- und Poisoning-Angriffen und stellen gegnerisch trainierte Checkpoints bereit, die allen getesteten Angriffen standhalten.

Das Framework synthetisiert ein Trainingskorpus von 1 Million Befehlen aus 34 Reverse-Shell-Vorlagen und evaluiert 14 Modellarchitekturen bei einem Betriebspunkt von FPR = 10⁻⁶ — was den realen Einschränkungen der SIEM-Alarmmüdigkeit entspricht.

Wichtigste Ergebnisse

Leistung auf dem zurückgehaltenen Testdatensatz über Basislinien-Heuristiken und QuasarNix-Architekturen. Die TPR wird als Mittelwert ± Standardabweichung über zehn unabhängige Trainingsläufe bei FPR = 10⁻⁶ angegeben. Fett markiert das beste Ergebnis; Sternchen (*) hebt die im Aufsatz diskutierten Modelle hervor.

Basislinien

QuasarNix — Tabellarische Modelle (One-Hot-Kodierung)

QuasarNix — Sequenzielle Modelle (Token-Embeddings)

Fazit: GBDT erreicht 60% TPR bei FPR = 10⁻⁶ — 18× höher als Signaturen (3,37%) — bei einem Training von 14 Sekunden auf handelsüblicher Hardware.

Gegnerische Robustheit

Shell-Escape-Störungen

Die folgende Tabelle katalogisiert Linux-Shell-Escape-Techniken aus dem Werkzeugkasten des Angreifers. Die dritte Spalte gibt an, ob die Technik die auditd-Kernel-Telemetrie-Normalisierung überlebt — nur die vier fett gedruckten Einträge erzeugen einen eindeutigen EXECVE-Datensatz und stellen die tatsächliche Angriffsfläche dar.

Nur 4 von 15 Techniken überleben die Kernel-Normalisierung und werden als gegnerischer Angriffsraum verwendet.

Evasion & Gegnerisches Training

Drei Angriffsfamilien werden evaluiert — Einschleusen von harmlosen Inhalten, Shell-Escape-Störungen und eine Hybrid aus beiden:

• Einschleusen von harmlosen Inhalten zerstört alle neuronalen Modelle; GBDT behält ≥93% Genauigkeit aufgrund seiner Gewichtung nach Merkmalsbedeutung.
• Shell-Escape-Störungen reduzieren GBDT und CNN bei maximalem Störungsbudget ohne Abwehrmaßnahmen auf 0% Genauigkeit.
• Gegnerisches Training macht alle drei Angriffstypen bei jeder evaluierten Architektur unwirksam.

Robustheit gegenüber Poisoning

Über Evasion zur Inferenzzeit hinaus evaluieren wir Angriffe zur Trainingszeit:

Label-Flipping-Verschmutzung (0–20% der Trainingslabels umgedreht): Modelle verschlechtern sich allmählich; GBDT zeigt durch das Ensemble-Voting inhärente Resistenz und bleibt bei hohen Verschmutzungsverhältnissen funktionsfähig.

Backdoor-Angriff (0,01–1% Vergiftungsverhältnis, 2–10 Token-Trigger): Kurze Trigger (2–4 Token) können keine zuverlässigen Hintertüren installieren, da sie im harmlosen Verkehr häufig vorkommen. Die optimale Installation einer Hintertür erfordert 6–10 Token-Trigger bei einem Vergiftungsverhältnis von ≥0,03%.

Fazit: Poisoning-Angriffe erfordern eine erhebliche, statistisch nachweisbare Dateneinspeisung, um erfolgreich zu sein. Der Ensemble-Mechanismus von GBDT bietet inhärente Robustheit ohne gegnerische Trainingskosten.

Branchenvalidierung

Nach der Veröffentlichung dieser Arbeit veröffentlichte Google auf der CAMLIS 2025 (arXiv:2512.08802) ein konzeptionell ausgerichtetes Produktionssystem: eine zweistufige YARA- + ML-Pipeline, die auf Zehntausenden von Systemen eingesetzt wird und bis zu 250 Milliarden Ereignisse pro Tag verarbeitet. Dieses System validiert unabhängig das hybride ML-für-SIEM-Erkennungsparadigma und die hier vorgeschlagene Active-Learning-Rückkopplungsschleife und demonstriert seine Praxistauglichkeit im industriellen Maßstab.

Datensatz & Vorgefertigte Modelle

from datasets import load_dataset
ds = load_dataset("dtrizna/QuasarNix")

Repository-Struktur

src/
  augmentation.py       regelbasierte und generative Datensynthese
  evasion.py            White-Box / Black-Box gegnerische Angriffe
  models.py             Modelldefinitionen (CNN, LSTM, Transformer, XGBoost, …)
  preprocessors.py      Tokenisierer und Merkmalskonstrukteure
  scoring.py            Bewertungsmetriken bei festem FPR

experiments/
  ablation_*.py         Ablationsstudien (Tokenisierer, Vokabulargröße, Embedding)
  adversarial_*.py      Angriffs- und gegnerische Trainingspipelines
  train_release_models.py  End-to-End-Trainingsskript
  logs_*/               TensorBoard-Läufe, CSV-Metriken, Modell-Checkpoints

data/
  signatures/           Sigma-Regeln, generiert durch evolutionäre Suche
  nix_shell/            rohes harmloses Befehlskorpus
  powershell/           plattformübergreifende Befehlstichproben

img/                    veröffentlichungsreife Diagramme

Umgebungseinrichtung

uv venv                    # erstellt .venv (--python 3.11 für einen bestimmten Interpreter hinzufügen)
source .venv/bin/activate
uv sync                    # installiert Abhängigkeiten aus pyproject.toml

Zitation

@article{trizna2025quasarnix,
  author    = {Trizna, Dmitrijs and Demetrio, Luca and Biggio, Battista and Roli, Fabio},
  title     = {Robust Large-Scale Detection of Living-Off-the-Land Reverse Shells via Data Synthesis},
  journal   = {ACM Transactions on Privacy and Security},
  year      = {2025},
  doi       = {10.1145/3807450},
  url       = {https://dl.acm.org/doi/10.1145/3807450}
}