QuasarNix: Rilevamento di Reverse-Shell Living-off-the-Land Robusto agli Attacchi Avversari

Dmitrijs Trizna · Luca Demetrio · Battista Biggio · Fabio Roli

Panoramica

Le reverse shell Linux living-off-the-land (LOTL) abusano di binari legittimi (bash, python, nc, …) per stabilire connessioni in uscita occulte, rendendo il rilevamento basato su firme inaffidabile contro nuove varianti e tentativi di evasione. QuasarNix affronta due lacune aperte nel campo:

1. Nessun rilevatore SIEM pubblico basato su ML — rilasciamo i primi modelli ML pronti per la produzione e con licenza aperta per il rilevamento di reverse-shell LOTL.
2. Fragilità avversariale — valutiamo i modelli sotto attacchi di evasione e di avvelenamento, e forniamo checkpoint addestrati in modo avversariale che sopravvivono a tutti gli attacchi testati.

Il framework sintetizza un corpus di addestramento di 1M di comandi a partire da 34 template di reverse-shell e valuta 14 architetture di modelli in un punto operativo di FPR = 10⁻⁶ — rispecchiando i vincoli reali di affaticamento da alert nei SIEM.

Risultati Chiave

Prestazioni sul test set escluso dall'addestramento (held-out) tra euristiche di base e architetture QuasarNix. Il TPR è riportato come media ± deviazione standard su dieci run di addestramento indipendenti a FPR = 10⁻⁶. Il grassetto indica il miglior risultato; l'asterisco (*) evidenzia i modelli discussi nell'articolo.

Baseline

QuasarNix — Modelli Tabellari (One-Hot Encoding)

QuasarNix — Modelli Sequenziali (Embedding dei Token)

In sintesi: GBDT raggiunge 60% TPR a FPR = 10⁻⁶ — 18× superiore alle firme (3.37%) — addestrandosi in 14 secondi su hardware comune.

Robustezza Avversariale

Perturbazioni di Evasione dalla Shell

La tabella seguente elenca le tecniche di evasione dalla shell Linux presenti nell'arsenale dell'attaccante. La terza colonna indica se la tecnica sopravvive alla normalizzazione delle telemetrie del kernel auditd — solo le quattro voci in grassetto producono un record EXECVE distinto e costituiscono la vera superficie di attacco.

Solo 4 delle 15 tecniche sopravvivono alla normalizzazione a livello di kernel e vengono usate come spazio di attacco avversariale.

Evasione e Addestramento Avversariale

Vengono valutate tre famiglie di attacco — iniezione di contenuto benigno, perturbazioni di evasione dalla shell e un ibrido delle due:

• L'iniezione di contenuto benigno devasta tutti i modelli neurali; GBDT mantiene un'accuratezza ≥93% grazie alla pesatura dell'importanza delle feature.
• Le perturbazioni di evasione dalla shell riducono GBDT e CNN a un'accuratezza dello 0% con budget di perturbazione massimo in assenza di difese.
• L'addestramento avversariale rende inefficaci tutti e tre i tipi di attacco su ogni architettura valutata.

Robustezza all'Avvelenamento

Oltre all'evasione in fase di inferenza, valutiamo gli attacchi in fase di addestramento:

Inquinamento da label-flipping (0–20% delle etichette di addestramento invertite): i modelli degradano gradualmente; GBDT mostra una resistenza intrinseca grazie al voto di ensemble, rimanendo funzionale ad alte percentuali di inquinamento.

Attacco backdoor (rapporto di avvelenamento 0,01–1%, trigger di 2–10 token): i trigger corti (2–4 token) non riescono a installare backdoor affidabili a causa della loro prevalenza nel traffico benigno. L'installazione ottimale di una backdoor richiede trigger di 6–10 token con un rapporto di avvelenamento ≥0,03%.

In sintesi: Gli attacchi di avvelenamento richiedono un'iniezione di dati sostanziale e statisticamente rilevabile per avere successo. Il meccanismo di ensemble di GBDT fornisce una robustezza intrinseca senza alcun costo di addestramento avversariale.

Validazione Industriale

Dopo la pubblicazione di questo lavoro, Google ha pubblicato un sistema di produzione concettualmente allineato a CAMLIS 2025 (arXiv:2512.08802): una pipeline a due fasi YARA + ML distribuita su decine di migliaia di sistemi, che elabora fino a 250 miliardi di eventi al giorno. Quel sistema valida in modo indipendente il paradigma ibrido di ML per il rilevamento SIEM e il ciclo di feedback di apprendimento attivo proposto qui, dimostrandone la fattibilità su scala industriale.

Dataset e Modelli Pre-Addestrati

from datasets import load_dataset
ds = load_dataset("dtrizna/QuasarNix")

Struttura del Repository

src/
  augmentation.py       rule-based and generative data synthesis
  evasion.py            white-box / black-box adversarial attacks
  models.py             model definitions (CNN, LSTM, Transformer, XGBoost, …)
  preprocessors.py      tokenisers and feature builders
  scoring.py            evaluation metrics at fixed FPR

experiments/
  ablation_*.py         ablation studies (tokenizer, vocab size, embedding)
  adversarial_*.py      attack and adversarial-training pipelines
  train_release_models.py  end-to-end training script
  logs_*/               TensorBoard runs, CSV metrics, model checkpoints

data/
  signatures/           Sigma rules generated by evolutionary search
  nix_shell/            raw benign command corpus
  powershell/           cross-platform command samples

img/                    publication-ready plots

Configurazione dell'Ambiente

uv venv                    # creates .venv (add --python 3.11 for a specific interpreter)
source .venv/bin/activate
uv sync                    # installs dependencies from pyproject.toml

Citazione

@article{trizna2025quasarnix,
  author    = {Trizna, Dmitrijs and Demetrio, Luca and Biggio, Battista and Roli, Fabio},
  title     = {Robust Large-Scale Detection of Living-Off-the-Land Reverse Shells via Data Synthesis},
  journal   = {ACM Transactions on Privacy and Security},
  year      = {2025},
  doi       = {10.1145/3807450},
  url       = {https://dl.acm.org/doi/10.1145/3807450}
}