Falhas de hardware podem cegar silenciosamente detectores de malware baseados em contadores de desempenho
O estudo injeta falhas estruturais simuladas — bits presos e bit-flips em parâmetros — em 18 classificadores usados por detectores de malware em hardware (HMDs), que decidem com base em contadores de performance da CPU. Os resultados mostram que modelos baseados em árvore de decisão são mais resistentes do que modelos baseados em função, mas que a maioria das falhas em árvores é "silenciosa": degrada a detecção sem alterar visivelmente as métricas de recall e falso-positivo normalmente monitoradas por uma equipe de operação.
Detectores de malware baseados em hardware (HMDs) são uma linha de defesa que roda abaixo do sistema operacional, classificando padrões de contadores de desempenho da CPU — cache misses, branches, instruções por ciclo — para flagar execução maliciosa sem depender de assinaturas de software. Por rodarem em silício, a premissa implícita é que são mais difíceis de adulterar do que um antivírus tradicional, mas essa premissa assume que a lógica de decisão do classificador embutido no hardware está livre de falhas.
Os autores simularam injeção de falhas estruturais — eventos "stuck-at", em que um bit trava em 0 ou 1, e bit-flip em parâmetros — em um espaço de 18 classificadores, variando o número de contadores de desempenho disponíveis e testando ensembles AdaBoost e Bagging, totalizando 453.174 eventos de falha avaliados sobre uma base de 7.400 instâncias de execução benigna e maliciosa. Uma falha foi considerada crítica quando reduzia o recall de detecção de malware em pelo menos cinco pontos percentuais.
Modelos baseados em árvore de decisão tiveram fração média de falhas críticas de 5,3%, contra 14,3% em modelos baseados em função, ou seja, árvores são estruturalmente mais tolerantes a esse tipo de corrupção. O dado mais preocupante é que 72,3% das falhas em árvores foram metricamente silenciosas: mudaram recall e taxa de falso-positivo em menos de 0,1 ponto percentual enquanto ainda alteravam previsões individuais, o que significa que um atacante capaz de induzir esse tipo específico de falha, por exemplo via ataque físico de fault injection ao chip, poderia fazer malware específico escapar da detecção sem que os painéis de monitoramento agregados da equipe de segurança notassem qualquer degradação.
Como contraponto, os autores mostram que proteger seletivamente uma fração pequena da lógica do classificador já reduz bastante o risco: no caso de um detector J48 baseado em árvore, proteger 16 de 115 unidades estruturais internas reduziu a perda máxima de recall possível de 60,1 para 3,3 pontos percentuais. Isso aponta um caminho de defesa em profundidade que não exige redesenhar o detector do zero — identificar e blindar fisicamente apenas os componentes estruturais mais críticos para a decisão final, em vez de tratar o classificador inteiro como igualmente sensível em todos os pontos.