QuasarNix : détection robuste aux attaques adversariales de reverse shells living-off-the-land

Dmitrijs Trizna · Luca Demetrio · Battista Biggio · Fabio Roli

Aperçu

Les reverse shells living-off-the-land (LOTL) sous Linux exploitent des binaires légitimes (bash, python, nc, …) pour établir des connexions sortantes furtives, ce qui rend la détection par signatures peu fiable face aux nouvelles variantes et aux tentatives de contournement. QuasarNix comble deux lacunes dans le domaine :

1. Aucun détecteur SIEM public basé sur le ML — nous publions les premiers modèles ML prêts pour la production et sous licence ouverte pour la détection des reverse shells LOTL.
2. Fragilité adversarial — nous évaluons les modèles face à des attaques par évasion et par empoisonnement, et fournissons des points de contrôle entraînés de manière adversarial qui survivent à toutes les attaques testées.

Le framework synthétise un corpus d'entraînement d'un million de commandes à partir de 34 gabarits de reverse shells et évalue 14 architectures de modèles à un point de fonctionnement de FPR = 10⁻⁶ — reflétant les contraintes réelles de lassitude face aux alertes SIEM.

Principaux résultats

Performance sur l'ensemble de test réservé, sur les heuristiques de référence et les architectures QuasarNix. Le TPR est rapporté sous forme de moyenne ± écart-type sur dix exécutions d'entraînement indépendantes à FPR = 10⁻⁶. Le gras indique le meilleur résultat ; l'astérisque (*) signale les modèles discutés dans l'article.

Références

QuasarNix — Modèles tabulaires (encodage one-hot)

QuasarNix — Modèles séquentiels (embeddings de tokens)

À retenir : GBDT atteint 60 % de TPR à FPR = 10⁻⁶ — soit 18× plus que les signatures (3.37%) — avec un entraînement de 14 secondes sur du matériel standard.

Robustesse aux attaques adversariales

Perturbations d'échappement shell

Le tableau ci-dessous recense les techniques d'échappement shell Linux issues de la boîte à outils de l'attaquant. La troisième colonne indique si la technique survit à la normalisation de la télémétrie du noyau par auditd — seules les quatre entrées en gras produisent un enregistrement EXECVE distinct et constituent la véritable surface d'attaque.

Seules 4 des 15 techniques survivent à la normalisation au niveau du noyau et sont utilisées comme espace d'attaque adversarial.

Évasion et entraînement adversarial

Trois familles d'attaques sont évaluées — injection de contenu bénin, perturbations d'échappement shell et une hybride des deux :

• L'injection de contenu bénin dévaste tous les modèles neuronaux ; GBDT conserve une exactitude ≥93 % grâce à sa pondération par importance des caractéristiques.
• Les perturbations d'échappement shell réduisent l'exactitude de GBDT et des CNN à 0 % avec un budget de perturbation maximal et sans défenses.
• L'entraînement adversarial rend inefficaces les trois types d'attaques sur toutes les architectures évaluées.

Robustesse à l'empoisonnement

Au-delà de l'évasion au moment de l'inférence, nous évaluons des attaques au moment de l'entraînement :

Pollution par inversion d'étiquettes (0 à 20 % d'étiquettes d'entraînement inversées) : les modèles se dégradent progressivement ; GBDT fait preuve d'une résistance intrinsèque grâce au vote d'ensemble et reste fonctionnel à des taux de pollution élevés.

Attaque par porte dérobée (taux d'empoisonnement de 0.01 à 1 %, déclencheurs de 2 à 10 jetons) : les déclencheurs courts (2 à 4 jetons) ne parviennent pas à installer des portes dérobées fiables en raison de leur prévalence dans le trafic bénin. L'installation optimale d'une porte dérobée nécessite des déclencheurs de 6 à 10 jetons avec un taux d'empoisonnement ≥0.03%.

À retenir : Les attaques par empoisonnement nécessitent une injection de données substantielle et statistiquement détectable pour réussir. Le mécanisme d'ensemble de GBDT offre une robustesse intrinsèque sans coût d'entraînement adversarial.

Validation industrielle

Après la publication de ces travaux, Google a publié un système de production conceptuellement aligné lors de CAMLIS 2025 (arXiv:2512.08802) : un pipeline en deux étapes YARA + ML déployé sur des dizaines de milliers de systèmes, traitant jusqu'à 250 milliards d'événements par jour. Ce système valide de manière indépendante le paradigme hybride de détection par ML pour SIEM ainsi que la boucle de rétroaction par apprentissage actif proposés ici, démontrant sa viabilité à l'échelle industrielle.

Jeu de données et modèles pré-entraînés

from datasets import load_dataset
ds = load_dataset("dtrizna/QuasarNix")

Organisation du dépôt

src/
  augmentation.py       rule-based and generative data synthesis
  evasion.py            white-box / black-box adversarial attacks
  models.py             model definitions (CNN, LSTM, Transformer, XGBoost, …)
  preprocessors.py      tokenisers and feature builders
  scoring.py            evaluation metrics at fixed FPR

experiments/
  ablation_*.py         ablation studies (tokenizer, vocab size, embedding)
  adversarial_*.py      attack and adversarial-training pipelines
  train_release_models.py  end-to-end training script
  logs_*/               TensorBoard runs, CSV metrics, model checkpoints

data/
  signatures/           Sigma rules generated by evolutionary search
  nix_shell/            raw benign command corpus
  powershell/           cross-platform command samples

img/                    publication-ready plots

Configuration de l'environnement

uv venv                    # creates .venv (add --python 3.11 for a specific interpreter)
source .venv/bin/activate
uv sync                    # installs dependencies from pyproject.toml

Citation

@article{trizna2025quasarnix,
  author    = {Trizna, Dmitrijs and Demetrio, Luca and Biggio, Battista and Roli, Fabio},
  title     = {Robust Large-Scale Detection of Living-Off-the-Land Reverse Shells via Data Synthesis},
  journal   = {ACM Transactions on Privacy and Security},
  year      = {2025},
  doi       = {10.1145/3807450},
  url       = {https://dl.acm.org/doi/10.1145/3807450}
}