QuasarNix: Обнаружение обратных оболочек Living-off-the-Land с устойчивостью к состязательным атакам

Dmitrijs Trizna · Luca Demetrio · Battista Biggio · Fabio Roli

Обзор

Linux-оболочки living-off-the-land (LOTL) обратного подключения используют легитимные бинарники (bash, python, nc, …) для установления скрытых исходящих соединений, что делает сигнатурное обнаружение ненадёжным против новых вариантов и попыток обхода. QuasarNix решает две открытые проблемы в этой области:

1. Отсутствие публичных ML-детекторов для SIEM — мы впервые выпускаем готовые к эксплуатации, открыто лицензированные ML-модели для обнаружения LOTL-оболочек обратного подключения.
2. Уязвимость к состязательным атакам — мы оцениваем модели под атаками уклонения и отравления, а также предоставляем состязательно обученные контрольные точки, выдерживающие все протестированные атаки.

Фреймворк синтезирует обучающий корпус из 1 миллиона команд на основе 34 шаблонов обратных оболочек и оценивает 14 архитектур моделей при рабочей точке FPR = 10⁻⁶ — что отражает реальные ограничения по усталости от срабатываний в SIEM.

Ключевые результаты

Производительность на отложенном тестовом наборе среди базовых эвристик и архитектур QuasarNix. TPR указан как среднее ± стандартное отклонение по десяти независимым запускам обучения при FPR = 10⁻⁶. Жирным выделен лучший результат; звёздочка (*) отмечает модели, обсуждаемые в статье.

Базовые методы

QuasarNix — Табличные модели (One-Hot Encoding)

QuasarNix — Последовательные модели (токен-эмбеддинги)

Вывод: GBDT достигает 60% TPR при FPR = 10⁻⁶ — в 18 раз выше, чем сигнатуры (3.37%) — при обучении за 14 секунд на стандартном оборудовании.

Устойчивость к состязательным атакам

Возмущения shell-escape

В таблице ниже перечислены техники shell-escape в Linux из арсенала атакующего. Третий столбец указывает, сохраняется ли техника после нормализации телеметрии ядра auditd — только четыре жирных элемента дают отдельную запись EXECVE и образуют реальную поверхность атаки.

Только 4 из 15 техник сохраняются после нормализации на уровне ядра и используются в качестве пространства состязательных атак.

Уклонение и состязательное обучение

Оцениваются три семейства атак — инъекция легитимного содержимого, возмущения shell-escape и гибрид обоих:

• Инъекция легитимного содержимого полностью разрушает все нейронные модели; GBDT сохраняет точность ≥93% благодаря взвешиванию по важности признаков.
• Возмущения shell-escape снижают точность GBDT и CNN до 0% при максимальном бюджете возмущений без защит.
• Состязательное обучение делает все три типа атак неэффективными для каждой оценённой архитектуры.

Устойчивость к отравлению

Помимо уклонения на этапе вывода, мы оцениваем атаки на этапе обучения:

Загрязнение переворотом меток (0–20% меток обучения перевёрнуто): модели деградируют плавно; GBDT проявляет внутреннюю устойчивость за счёт ансамблевого голосования, оставаясь работоспособным при высоких долях загрязнения.

Атака бэкдор (0.01–1% доли отравления, триггеры из 2–10 токенов): короткие триггеры (2–4 токена) не могут надёжно установить бэкдор из-за их распространённости в легитимном трафике. Оптимальная установка бэкдора требует триггеров из 6–10 токенов при доле отравления ≥0.03%.

Вывод: Атаки отравления требуют существенной, статистически обнаруживаемой инъекции данных для успеха. Механизм ансамбля GBDT обеспечивает внутреннюю устойчивость без затрат на состязательное обучение.

Индустриальная валидация

После публикации этой работы Google представил концептуально схожую производственную систему на CAMLIS 2025 (arXiv:2512.08802): двухэтапный конвейер YARA + ML, развёрнутый на десятках тысяч систем, обрабатывающий до 250 миллиардов событий в день. Эта система независимо подтверждает гибридную парадигму ML-детекции для SIEM и цикл активного обучения, предложенные здесь, демонстрируя их жизнеспособность в промышленном масштабе.

Набор данных и предобученные модели

from datasets import load_dataset
ds = load_dataset("dtrizna/QuasarNix")

Структура репозитория

src/
  augmentation.py       синтез данных на основе правил и генеративных моделей
  evasion.py            состязательные атаки белого / чёрного ящика
  models.py             определения моделей (CNN, LSTM, Transformer, XGBoost, …)
  preprocessors.py      токенизаторы и построители признаков
  scoring.py            метрики оценки при фиксированном FPR

experiments/
  ablation_*.py         абляционные исследования (токенизатор, размер словаря, эмбеддинги)
  adversarial_*.py      конвейеры атак и состязательного обучения
  train_release_models.py  сквозной скрипт обучения
  logs_*/               запуски TensorBoard, CSV-метрики, контрольные точки моделей

data/
  signatures/           Sigma-правила, сгенерированные эволюционным поиском
  nix_shell/            сырой корпус легитимных команд
  powershell/           кроссплатформенные образцы команд

img/                    готовые к публикации графики

Настройка окружения

uv venv                    # создаёт .venv (добавьте --python 3.11 для конкретного интерпретатора)
source .venv/bin/activate
uv sync                    # устанавливает зависимости из pyproject.toml

Цитирование

@article{trizna2025quasarnix,
  author    = {Trizna, Dmitrijs and Demetrio, Luca and Biggio, Battista and Roli, Fabio},
  title     = {Robust Large-Scale Detection of Living-Off-the-Land Reverse Shells via Data Synthesis},
  journal   = {ACM Transactions on Privacy and Security},
  year      = {2025},
  doi       = {10.1145/3807450},
  url       = {https://dl.acm.org/doi/10.1145/3807450}
}