Mutazione del Malware usando Deep Reinforcement Learning e GAN

Lo scopo dello strumento è utilizzare l'intelligenza artificiale per mutare un campione di malware (solo PE32) al fine di eludere i classificatori basati sull'IA, mantenendo intatta la sua funzionalità. In passato, sono stati svolti lavori notevoli in questo ambito, con ricercatori che hanno utilizzato l'apprendimento per rinforzo o le reti generative avversarie (GAN) come armi di elezione per modificare gli stati di un eseguibile malware al fine di ingannare gli agenti antivirus. La nostra soluzione utilizza una combinazione di deep reinforcement learning e GAN per superare alcune delle limitazioni affrontate utilizzando questi approcci in modo indipendente, come mostrato di seguito.

Trova la documentazione completa dello strumento qui

Istruzioni per l'Installazione

⚠️ Poiché questo strumento gestisce file malware, è fortemente consigliato utilizzare una macchina virtuale. Dopo l'installazione dello strumento, assicurati di disconnetterti dalla rete.

I seguenti passaggi ti guideranno attraverso tutte le installazioni necessarie per configurare l'ambiente.

1. Installa e configura Python 3.6.

2. Clona il repository.

   root@kitploit:~

   git clone https://github.com/CyberForce/Pesidious
   

3. Spostati nella directory del progetto.

   root@kitploit:~

   cd Pesidious
   

4. Configura e attiva un ambiente virtuale con Python 3.6

   Si consiglia di utilizzare un ambiente virtuale per evitare conflitti tra i pacchetti utilizzati da diverse applicazioni

5. Assicurati di avere pip 8.1.1 installato e configurato.

   Questo perché le versioni successive di pip non sono compatibili con la libreria PyTorch.

   root@kitploit:~

   pip install pip==8.1.1
   

6. Installa tutte le librerie richieste, installando il file requirements.txt.

   root@kitploit:~

   pip install -r pip_requirements/requirements.txt
   

Muta Il Tuo Malware

L'output dal GAN è già stato salvato come (RL_Features/adverarial_imports_set.pk e RL_Features/adverarial_sections_set.pk) che verranno utilizzati per aggiungere import e sezioni al malware per la mutazione.

1. Puoi testare il classificatore di esempio per valutare i file malware.

   root@kitploit:~

   python classifier.py -d /path/to/directory/with/malware/files
   

2. Esegui lo script Python mutate.py per mutare i tuoi campioni di malware.

   root@kitploit:~

   python mutate.py -d /path/to/directory/with/malware/files
   

3. I file malware mutati verranno salvati in una directory chiamata Mutated_malware nel seguente formato

   root@kitploit:~

   Mutated_malware/mutated_<name-of-the-file>
   

4. Una volta che i file malware sono mutati, puoi eseguire di nuovo il classificatore per valutare il malware mutato.

   root@kitploit:~

   python classifier.py -d Mutated_malware/
   

Problemi Noti e Soluzioni

⚠️ ATTENZIONE: Questa sezione è attualmente in costruzione. Ci scusiamo per ogni inconveniente. Proseguire alla prossima sezione. clicca qui

1. pip install -r requirements.txt restituisce un errore.

   Soluzione:

   root@kitploit:~

   pip install tqdm
   pip install sklearn
   pip install lief
   

2. Errore ModuleNotFoundError: No module named 'tensorboardX' durante l'esecuzione dello script python main_malgan.py.

   Soluzione:

   root@kitploit:~

   pip install tensorboardX
   

3. Errore nell'esecuzione di import-append, section-append (non trovati)

   Soluzione Dai il permesso di esecuzione a questi eseguibili usando i seguenti comandi nel terminale

   root@kitploit:~

   cd portable-executable/
   chmod 777 project-add-sections/bin/Debug/project-append-section
   chmod 777 project-add-imports/bin/Debug/project-append-imports
   
   

Realizzato Con

• PyTorch - Libreria open source di machine learning basata sulla libreria Torch.
• Lief - Una libreria cross-platform in grado di analizzare, modificare e astrarre i formati ELF, PE e MachO.
• PE Bliss - Libreria PE per ricostruire file PE, scritta in C++.
• Gym-Malware - Ambiente di manipolazione malware per OpenAI Gym.
• MalwareGAN - Generazione di Malware Avversario utilizzando GAN.

Autori

• Chandni Vaya - X-Force Incident Response, IBM Security - Github
• Bedang Sen - X-Force Incident Response, IBM Security - Github

Ringraziamenti

• Ambiente Gym-Malware: https://github.com/endgameinc/gym-malware. L'ambiente è stato modificato per aggiungere GAN e le mutazioni sono state aggiunte/modificate/rimosse per migliorare l'evasività del malware e mantenere la funzionalità.
• Il lavoro di Yanming Lai (https://github.com/yanminglai/Malware-GAN) e di Zayd Hammoudeh (https://github.com/ZaydH/MalwareGAN) sull'implementazione del MalGAN di Han e Tan ha giocato un ruolo cruciale nella nostra comprensione dell'architettura. La maggior parte dell'implementazione del MalGAN utilizzata in questo progetto è stata forkata dal lavoro di Hammoudeh.

Riferimenti

Anderson, H., Kharkar, A., Filar, B., Evans, D. and Roth, P. (2018). Learning to Evade Static PE Machine Learning Malware Models via Reinforcement Learning. [online] arXiv.org. Disponibile su: https://arxiv.org/abs/1801.08917.

Docs.microsoft.com. (n.d.). PE Format - Windows applications. [online] Disponibile su: https://docs.microsoft.com/en-us/windows/win32/debug/pe-format#general-concepts.

Fang, Z., Wang, J., Li, B., Wu, S., Zhou, Y. and Huang, H. (2019). Evading Anti-Malware Engines With Deep Reinforcement Learning. [online] Ieeexplore.ieee.org. Disponibile su: https://ieeexplore.ieee.org/abstract/document/8676031 [Accesso 25 Agosto 2019].

https://resources.infosecinstitute.com. (2019). Malware Researcher’s Handbook (Demystifying PE File). [online] Disponibile su: https://resources.infosecinstitute.com/2-malware-researchers-handbook-demystifying-pe-file/#gref.

Hu, W. and Tan, Y. (2018). Generating Adversarial Malware Examples for Black-Box Attacks Based on GAN. [online] arXiv.org. Disponibile su: https://arxiv.org/abs/1702.05983.