Echo usa recompilação como feedback confiável para recuperar código-fonte de binários, incluindo o malware Mirai
O sistema Echo propõe decompilação por correspondência exata: em vez de apenas prever código plausível, ele recompila candidatos e compara o assembly resultante com o binário-alvo, usando essa comparação como guia de busca iterativa. Testado contra o binário do malware Mirai, superou GPT-5.6 e Codex na quantidade de funções recuperadas com correspondência exata.
Decompiladores neurais conseguem gerar código-fonte legível a partir de binários, mas o resultado costuma ser plausível sem ser correto — o código lê bem, mas não necessariamente reproduz o comportamento exato do binário original. A decompilação por matching tenta resolver isso buscando código-fonte cuja recompilação produza um assembly idêntico ao alvo, o que dá uma garantia muito mais forte de correção do que a leitura superficial do código gerado.
O Echo opera em três etapas: um modelo específico de domínio gera programas candidatos e configurações de compilação plausíveis; esses candidatos são recompilados e comparados ao binário-alvo em nível de assembly para medir similaridade; e os trechos que ainda não batem são corrigidos progressivamente por reescrita baseada em regras, refinamento neural e refinamento por raciocínio. O ponto central da arquitetura é tratar a própria compilação não só como verificação final, mas como sinal de feedback confiável a cada iteração de busca — o que permite convergir mesmo diante de binários otimizados compilados com configurações desconhecidas, cenário em que a busca por correspondência exata costuma falhar.
Os números reportados mostram 2,43x mais correspondências exatas em média que a melhor baseline, além de maior similaridade estrutural com o código-fonte de referência. O caso de uso mais relevante para forense digital é a avaliação contra o binário do malware Mirai (a botnet IoT que originou uma das maiores famílias de malware DDoS já vistas): o Echo recuperou 2,75x mais funções com correspondência exata que o GPT-5.6 e 7,4x mais que o Codex.
Para quem faz engenharia reversa de malware em contexto pericial, uma ferramenta que reconstrói código-fonte com garantia de recompilação idêntica ao binário reduz um gargalo real: hoje, analisar amostras de malware compiladas sem símbolos de depuração é um processo manual e demorado de leitura de assembly ou de decompilação heurística cujos resultados exigem validação cuidadosa. Um decompilador que valida suas próprias saídas via recompilação em nível de assembly oferece maior confiança para laudos periciais e relatórios de resposta a incidentes que precisam documentar com precisão o comportamento de uma amostra.