Analyse de code auto adaptative pour les programmes adversariaux

Self-adaptation for adversarial code analysis

• Auteur / Autrice : Charles babu Mamidisetti
• Direction : Jean-Yves Marion
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le 16/02/2021
• Etablissement(s) : Université de Lorraine
• Ecole(s) doctorale(s) : École doctorale IAEM Lorraine - Informatique, Automatique, Électronique - Électrotechnique, Mathématiques de Lorraine (1992-....)
• Partenaire(s) de recherche : Laboratoire : LORIA - Laboratoire Lorrain de Recherche en Informatique et ses Applications

Mots clés

Mots clés libres

Code obfusqué

Exécution symbolique

Interprétation abstraite

Et apprentissage automatique

Abstract Interpretation

Symbolic execution

Obfuscated Codes

Machine Learning

Résumé

On considère le cas de l'analyse de code adversariaux, c'est-à-dire du code obfusqué destiné à gêner l'analyse, par exemple dans le cas de la compréhension de malware pour trouver la clé privée permettant de déverrouiller des fichiers cryptés par un ransomware). Alors que les récentes attaques basées sur la sémantique se sont avérées très fructueuses dans de tels contextes, la course aux armements est en marche et de puissantes défenses antisémantiques ont récemment été suggérées. Nous affirmons que le problème ici n'est pas dans les capacités de raisonnement des systèmes de cyber-raisonnement actuels au niveau binaire, mais plutôt dans leur utilisation fine. En effet, l'analyse réussit généralement une fois bien réglée par un expert à la fois de la rétro-ingénirie et des méthodes formelles, mais cela nécessite du temps et des compétences approfondies. En effet, les analyseurs sémantiques standards sont livrés avec un grand nombre de paramètres pour régler les compromis entre précision, coût, etc. Ces paramètres peuvent avoir un impact sur la recherche, les capacités de résolution, la granularité du raisonnement, l'heuristique intégrée pour certains types de codes, etc. , un raisonnement très précis ne se met pas à l'échelle, il n'est donc pas activé par défaut, et doit être finement délimité par l'utilisateur. Alors qu'un expert très qualifié peut le faire, la plupart des utilisateurs ne le peuvent pas. Ainsi, dans le contexte de l'analyse de code contradictoire (malware), nous voulons comprendre comment les techniques d'apprentissage automatique peuvent être utilisées pour détecter automatiquement un problème d'analyse, le comprendre, et ajuster l'analyse en conséquence, dans le but ultime de concevoir une analyse auto-adaptative capable de s'ajuster automatiquement aux protections antisémantiques - réduisant ainsi l' (énorme) écart entre les utilisateurs normaux et les experts

We consider the case of the analysis of adversarial codes, i.e. the obfuscated code intended to interfere with analysis, for example in the understanding malware case to find the private key allowing you to unlock files encrypted by a ransomware. While recent semantic-based attacks have proven to be very successful in such contexts, the race for armaments is on the march and powerful anti-semantic defenses have recently been suggested. We assert that the problem here is not in the reasoning capacities of systems of current cyber-reasoning at the binary level, but rather in their fine use. This is because the scan usually succeeds once well regulated by an expert in both reverse engineering and formal methods, but it takes time and in-depth skills. In Indeed, standard semantic analyzers come with a large number of parameters to adjust the trade-offs between precision, cost, etc. These settings can have an impact on search, resolution skills, granularity of reasoning, heuristics integrated for certain types of codes, etc. Typically, very precise reasoning does not scale, so it is not enabled by default, and must be finely delimited by the user. While an expert very skilled can do it, most users cannot. Thus, in the context of adversarial code analysis (malware), we want to understand how the machine learning techniques can be used to detect automatically an analysis problem, understand it, and adjust the analysis accordingly, in the ultimate goal of designing a self-adaptive analysis capable of automatically adjust to anti-semantic protections - reducing thus the (huge) gap between normal users and experts