Estudo mapeia trade-off entre eficacia e detectabilidade na escolha de valores de gatilho para backdoors clean-label em classificadores de malware
Pesquisadores estudam, de forma isolada, como o valor atribuido a uma caracteristica-gatilho (nao apenas quais caracteristicas escolher) afeta ataques de backdoor clean-label contra classificadores de malware baseados em features, usando os datasets EMBER 2018 e um subconjunto Win64 PE do EMBER 2024 com modelos LightGBM. Seletores agressivos como MinPopulation e CountAbsSHAP alcancam alta taxa de sucesso de ataque, especialmente sob amostragem similar a distribuicao real de malware, mas sao mais faceis de detectar por sanitizacao como Isolation Forest; seletores como CorrCountAbsSHAP e Quantile95 reduzem a chance de deteccao mantendo eficacia util.
Backdoors clean-label sao um tipo particularmente perigoso de envenenamento de dados de treinamento porque as amostras injetadas mantem seu rotulo original e correto — nao ha necessidade de rotular um arquivo malicioso como benigno, por exemplo — o que torna sua deteccao por auditoria manual de rotulos praticamente impossivel. Em classificadores de malware baseados em features extraidas de arquivos (como os usados nos benchmarks EMBER), esse tipo de ataque e especialmente relevante porque conjuntos de dados de treinamento frequentemente incorporam amostras agregadas de fontes publicas ou compartilhadas pela industria, criando uma superficie de ataque real na cadeia de suprimentos de modelos de deteccao de malware.
Trabalhos anteriores sobre esse tipo de ataque focaram principalmente em qual caracteristica escolher como gatilho (geralmente guiados por explicabilidade, como valores SHAP). Este estudo isola uma dimensao distinta e menos explorada: dado que uma caracteristica foi escolhida como gatilho, qual valor especifico atribuir a ela tambem afeta materialmente o comportamento do ataque. Os autores comparam cinco familias de estrategia de selecao de valor — baseadas em raridade (MinPopulation), em importancia SHAP absoluta (CountAbsSHAP), em limites de frequencia, em co-ocorrencia e em quantis da distribuicao (Quantile95) — testando-as contra classificadores LightGBM treinados no EMBER 2018 e em um subconjunto Win64 PE do EMBER 2024, sob duas estrategias de amostragem de amostras benignas (aleatoria e baseada na distribuicao real de malware similar).
O resultado central e um trade-off claro entre forca e discricao do ataque: estrategias agressivas como MinPopulation e CountAbsSHAP alcancam as maiores taxas de sucesso de ataque, especialmente quando combinadas com amostragem baseada em similaridade com malware real, mas essa mesma agressividade as torna estatisticamente anomalas e, portanto, mais faceis de detectar por metodos de sanitizacao de dados como Isolation Forest, que buscam exatamente outliers desse tipo. Em contraste, estrategias mais conservadoras como CorrCountAbsSHAP (que leva em conta correlacao entre caracteristicas) e Quantile95 (que usa valores dentro de faixas estatisticamente plausiveis) reduzem significativamente a taxa de recall de deteccao do ataque pelo sanitizador, ao custo de alguma eficacia de ataque, mas ainda mantendo-a em niveis uteis para um atacante real.
O achado importa na pratica para quem constroi ou audita pipelines de treinamento de classificadores de seguranca: a conclusao de que a selecao de valor de gatilho e um fator de design independente, nao um detalhe de implementacao, significa que defesas de sanitizacao calibradas apenas para detectar os ataques mais agressivos e conhecidos (que e o que a maioria das defesas publicadas testa) deixam uma lacuna real contra atacantes que escolhem deliberadamente valores de gatilho estatisticamente discretos. Isso sugere que avaliacoes de robustez de classificadores de malware contra envenenamento precisam considerar explicitamente esse espectro de agressividade versus furtividade, e nao apenas o pior caso mais facilmente detectavel.