AVHunter usa ML para localizar, byte a byte, a lógica de decisão de antivírus comerciais e expor caminho para evasão
O framework AVHunter treina modelos de machine learning capazes não só de reproduzir a decisão binária de produtos de antivírus reais, mas de localizar as regiões exatas de bytes que motivam cada veredito, sondando sistematicamente 11 produtos de AV comerciais. Com 85% de recall na localização dessas regiões e 97% de concordância com as decisões reais do AV, o trabalho demonstra evasão guiada por essas regiões e permanece estável ao longo de sete meses de evolução dos produtos testados.
Entender por que um antivírus classifica um arquivo como malicioso hoje é, na prática, um exercício de caixa preta: o pesquisador só observa a saída binária (detectado/não detectado) para uma entrada dada, sem visibilidade sobre qual característica do arquivo motivou aquele veredito. Essa opacidade é proposital -- os fabricantes de AV tratam sua lógica de detecção como propriedade intelectual sensível --, mas também limita pesquisa legítima de robustez e cria uma superfície de risco pouco mapeada: se um atacante consegue inferir essa lógica por fora, ele obtém um mapa de evasão sem nunca ter acesso ao código do produto.
O AVHunter ataca esse problema construindo primeiro o BABD (Byte-Level AV Boundary Dataset), o primeiro dataset em larga escala desse tipo, sondando sistematicamente 11 produtos de antivírus comerciais reais com variações controladas de arquivos para observar como mudanças pontuais de bytes afetam o veredito. A partir desse dataset, o framework treina modelos específicos por AV que fazem duas coisas ao mesmo tempo: reproduzem a decisão binária do produto original com alta fidelidade, e localizam quais regiões compactas de bytes foram decisivas para aquela decisão -- uma capacidade que vai muito além de clonar apenas o comportamento externo do AV.
Os números confirmam que a abordagem captura conhecimento real, não ruído: recall médio de 85,07% na predição das regiões críticas de decisão, com 97,43% de concordância entre a decisão do modelo substituto e a decisão real do AV alvo. Os autores validam que essas regiões previstas carregam conhecimento genuíno, e não artefatos estatísticos, de três formas: usando-as para guiar evasão de malware com sucesso, usando-as para induzir falsos positivos em executáveis benignos, e acompanhando um estudo longitudinal de sete meses que mostra que as regiões identificadas permanecem majoritariamente estáveis à medida que os produtos de AV evoluem suas assinaturas e heurísticas.
Esse trabalho tem uma leitura dupla: por um lado, é uma ferramenta de pesquisa legítima sobre robustez e comportamento de sistemas de detecção fechados. Por outro, os próprios autores classificam o achado como uma nova forma de “vazamento de conhecimento” de AV, já que a mesma técnica que permite auditar um produto também permite a um adversário mapear, sem qualquer acesso privilegiado, exatamente quais bytes evitar ou incluir para escapar da detecção -- e a estabilidade de sete meses sugere que esse mapa não se torna obsoleto rapidamente à medida que o produto recebe atualizações incrementais de assinatura. Isso reforça a necessidade de que fabricantes de AV considerem defesas “boundary-aware”, ou seja, desenhadas assumindo que a fronteira de decisão pode ser inferida por fora.