ICFlowNet: aprendizado em grafos para reconstruir fluxo de controle indireto em binários stripped
Pesquisadores apresentam o ICFlowNet, um framework de aprendizado em grafos que recupera arestas de fluxo de controle indireto (chamadas indiretas, tail calls, jump tables e returns) em binários x86-64 sem símbolos de depuração. O trabalho também propõe um protocolo de avaliação mais rigoroso, com deduplicação em nível de função e separação por pacote, para evitar vazamento de dados entre treino e teste, um problema comum na literatura anterior.
Reconstruir o fluxo de controle indireto é um dos problemas centrais da análise binária: quando um programa é compilado sem símbolos ou é deliberadamente stripped, saber para onde apontam chamadas e saltos indiretos deixa de ser trivial, já que o destino depende de valores calculados em tempo de execução (ponteiros de função, vtables, tabelas de saltos). Esse tipo de lacuna é explorado tanto por quem quer esconder comportamento malicioso quanto representa o principal obstáculo para quem precisa reconstruir esse comportamento durante uma perícia ou engenharia reversa.
O ICFlowNet ataca o problema combinando dois mecanismos. O primeiro, batizado de "Dual Virtual Hubs", cria nós virtuais que funcionam como atalhos de roteamento entre evidências de código e de dados que estão distantes no grafo do binário, o que historicamente é o ponto fraco de abordagens baseadas em grafos: dependências de longo alcance se perdem à medida que a distância entre a instrução indireta e a evidência que a explica aumenta. O segundo mecanismo é o aprendizado multi-tarefa, que modela conjuntamente os quatro tipos de referência indireta (chamadas, tail calls, jump tables e returns) em vez de tratá-los como problemas isolados, permitindo que sinais de um tipo reforcem a inferência dos demais.
Um ponto tecnicamente relevante do artigo é a crítica metodológica que os autores fazem à própria área: muitos benchmarks anteriores de recuperação de ICF sofrem de vazamento de dados (o mesmo binário, ou uma variante próxima, aparece em treino e teste) e de ruído de rótulos. Para contornar isso, os autores construíram um dataset de 15.901 binários x86-64 stripped únicos, com separação em nível de pacote e deduplicação por hash de mnemônicos por função, além de um subconjunto com 1.351 binários cuja verdade fundamentada foi obtida dinamicamente (execução real), não apenas por heurísticas estáticas.
Os ganhos reportados são substanciais: até 9,13 pontos de F1 adicionais nas predições de longo alcance graças aos hubs virtuais, mais 5,81 pontos com o aprendizado multi-tarefa, e uma vantagem final de mais de 13 pontos de F1 sobre baselines anteriores em chamadas indiretas de longo alcance, com overhead topológico de apenas 11,44%.
Para quem atua com resposta a incidentes e análise de malware, esse tipo de ferramenta ataca diretamente uma dor recorrente: amostras maliciosas empacotadas, ofuscadas ou compiladas sem símbolos costumam esconder justamente nas chamadas indiretas o comportamento mais sensível (carregamento dinâmico de payload, resolução de API em runtime, desvios de controle usados para evadir análise estática). Uma reconstrução de CFG mais confiável nesses pontos reduz o tempo de reversão manual e melhora a qualidade de assinaturas comportamentais e de detecção derivadas da análise binária.