Mutação de Malware usando Aprendizado por Reforço Profundo e GANs

O objetivo da ferramenta é usar inteligência artificial para mutar uma amostra de malware (apenas PE32) de forma a burlar classificadores alimentados por IA, mantendo sua funcionalidade intacta. No passado, trabalhos notáveis foram feitos neste domínio, com pesquisadores usando aprendizado por reforço ou redes adversárias generativas como suas armas de escolha para modificar os estados de um executável de malware a fim de enganar agentes antivírus. Nossa solução utiliza uma combinação de aprendizado por reforço profundo e GANs para superar algumas das limitações enfrentadas ao usar essas abordagens de forma independente, conforme mostrado abaixo.

Encontre nossa documentação completa para a ferramenta aqui

Instruções de Instalação

⚠️ Como esta ferramenta lida com arquivos de malware, é fortemente recomendado o uso de uma máquina virtual. Após a instalação da ferramenta, certifique-se de desconectar da rede.

Os passos a seguir irão guiá-lo por todas as instalações necessárias para configurar o ambiente.

1. Instale e configure o Python 3.6.

2. Clone o repositório.

   root@kitploit:~

   git clone https://github.com/CyberForce/Pesidious
   

3. Entre no diretório do projeto.

   root@kitploit:~

   cd Pesidious
   

4. Configure e ative um ambiente virtual com Python 3.6

   É recomendado usar um ambiente virtual para evitar conflitos entre pacotes usados por diferentes aplicações

5. Certifique-se de ter o pip 8.1.1 instalado e configurado.

   Isso se deve ao fato de que versões posteriores do pip não se comportam bem com a biblioteca PyTorch.

   root@kitploit:~

   pip install pip==8.1.1
   

6. Instale todas as bibliotecas necessárias, instalando o arquivo requirements.txt.

   root@kitploit:~

   pip install -r pip_requirements/requirements.txt
   

Mute Seu Malware

A saída da GAN já foi armazenada como (RL_Features/adverarial_imports_set.pk e RL_Features/adverarial_sections_set.pk), que serão usadas ao adicionar imports e seções ao malware para mutação.

1. Você pode testar o classificador de amostras para pontuar arquivos de malware.

   root@kitploit:~

   python classifier.py -d /path/to/directory/with/malware/files
   

2. Execute o script Python mutate.py para mutar suas amostras de malware.

   root@kitploit:~

   python mutate.py -d /path/to/directory/with/malware/files
   

3. Os arquivos de malware mutados serão armazenados em um diretório chamado Mutated_malware no seguinte formato

   root@kitploit:~

   Mutated_malware/mutated_<name-of-the-file>
   

4. Após os arquivos de malware serem mutados, você pode executar o classificador novamente para pontuar o malware mutado.

   root@kitploit:~

   python classifier.py -d Mutated_malware/
   

Problemas Conhecidos e Correções

⚠️ AVISO: Esta seção está atualmente em construção. Pedimos desculpas por qualquer inconveniente causado. Por favor, prossiga para a próxima seção. clique aqui

1. pip install -r requirements.txt retorna um erro.

   Solução:

   root@kitploit:~

   pip install tqdm
   pip install sklearn
   pip install lief
   

2. Erro ModuleNotFoundError: No module named 'tensorboardX' ao executar o script python main_malgan.py.

   Solução:

   root@kitploit:~

   pip install tensorboardX
   

3. Erro na execução de import-append, section-append (não encontrado)

   Solução Dê permissão de execução a esses executáveis usando os seguintes comandos no seu terminal

   root@kitploit:~

   cd portable-executable/
   chmod 777 project-add-sections/bin/Debug/project-append-section
   chmod 777 project-add-imports/bin/Debug/project-append-imports
   
   

Construído Com

• PyTorch - Biblioteca de aprendizado de máquina de código aberto baseada na biblioteca Torch.
• Lief - Uma biblioteca multiplataforma que pode analisar, modificar e abstrair formatos ELF, PE e MachO.
• PE Bliss - Biblioteca PE para reconstruir arquivos PE, escrita em C++.
• Gym-Malware - Ambiente de manipulação de malware para o gym da OpenAI.
• MalwareGAN - Geração Adversarial de Malware Usando GANs.

Autores

• Chandni Vaya - X-Force Incident Response, IBM Security - Github
• Bedang Sen - X-Force Incident Response, IBM Security - Github

Agradecimentos

• Ambiente Gym-Malware: https://github.com/endgameinc/gym-malware. O ambiente foi modificado para adicionar GAN e as mutações foram adicionadas/alteradas/removidas para melhorar a capacidade de evasão do malware e manter a funcionalidade.
• O trabalho de Yanming Lai (https://github.com/yanminglai/Malware-GAN) e de Zayd Hammoudeh (https://github.com/ZaydH/MalwareGAN) na implementação do MalGAN de Han e Tan desempenhou um papel crucial em nosso entendimento da arquitetura. A maior parte da implementação do MalGAN usada neste projeto foi bifurcada (forked) a partir do trabalho de Hammoudeh.

Referências

Anderson, H., Kharkar, A., Filar, B., Evans, D. and Roth, P. (2018). Learning to Evade Static PE Machine Learning Malware Models via Reinforcement Learning. [online] arXiv.org. Available at: https://arxiv.org/abs/1801.08917.

Docs.microsoft.com. (n.d.). PE Format - Windows applications. [online] Available at: https://docs.microsoft.com/en-us/windows/win32/debug/pe-format#general-concepts.

Fang, Z., Wang, J., Li, B., Wu, S., Zhou, Y. and Huang, H. (2019). Evading Anti-Malware Engines With Deep Reinforcement Learning. [online] Ieeexplore.ieee.org. Available at: https://ieeexplore.ieee.org/abstract/document/8676031 [Accessed 25 Aug. 2019]. https://resources.infosecinstitute.com. (2019).

Malware Researcher’s Handbook (Demystifying PE File). [online] Available at: https://resources.infosecinstitute.com/2-malware-researchers-handbook-demystifying-pe-file/#gref.

Hu, W. and Tan, Y. (2018). Generating Adversarial Malware Examples for Black-Box Attacks Based on GAN. [online] arXiv.org. Available at: https://arxiv.org/abs/1702.05983.