Invariantes estruturais de empacotadores como indicadores forenses para atribuição de malware polimórfico
Pesquisadores propõem um framework que usa invariantes estruturais de empacotadores executáveis (packers) para apoiar a atribuição forense de famílias de malware polimórfico entre campanhas distintas. O método foi validado com aprendizado de máquina e busca sinais que sobrevivam à mudança constante de payload entre variantes. O artigo foi publicado na revista Forensic Science International: Digital Investigation (volume 59).
O artigo, de autoria de Ujjval Rana e Krishna Modi, foi publicado na Forensic Science International: Digital Investigation (volume 59, edição de dezembro de 2026) e propõe um framework para usar invariantes estruturais de empacotadores (packers) de executáveis como indicadores forenses capazes de apoiar a atribuição de famílias de malware polimórfico a uma mesma origem ou campanha.
Empacotadores e ofuscadores alteram a superfície observável de um binário malicioso a cada geração — mudam bytes, strings e assinaturas de hash — mas, segundo a proposta, preservam certas invariantes estruturais (layout de seções, padrões de entropia, rotinas de stub de descompactação, metadados de cabeçalho) que sobrevivem à variação polimórfica. O framework descrito é "cross-family": extrai esses invariantes de amostras empacotadas por diferentes ferramentas e usa validação por aprendizado de máquina para testar se esse sinal estrutural diferencia consistentemente famílias de malware, mesmo quando o payload muda a cada nova variante.
Na perícia de malware, um dos maiores obstáculos práticos é que empacotadores comerciais e customizados (variantes de UPX, VMProtect, Themida etc.) são compartilhados entre múltiplas famílias e funcionam como ruído que atrapalha a atribuição por assinatura ou hash tradicional. Se invariantes estruturais de fato sobrevivem entre variantes de uma mesma família, peritos poderiam usar esse sinal como camada adicional de evidência para agrupar amostras coletadas em uma investigação — em disco, memória ou tráfego de rede — e relacionar incidentes distintos a um mesmo ator ou campanha, mesmo sob polimorfismo agressivo, o que é útil tanto para laudos periciais quanto para correlação de casos entre investigações.
O acesso ao texto completo via ScienceDirect retornou erro 403 (bloqueio de paywall), de modo que esta análise se baseia apenas no título e no resumo bibliográfico disponibilizados no RSS da publicação. Não foi possível verificar detalhes como o dataset usado, as métricas de acurácia obtidas ou as famílias de malware testadas — informações que devem ser conferidas diretamente na publicação antes de qualquer adoção operacional do método.