Classificação de malware com localização explicável da lógica maliciosa em nível de bloco básico
O trabalho propõe um framework de análise de malware que não apenas classifica se um programa é malicioso, mas aponta exatamente quais blocos básicos de código são responsáveis por cada comportamento, usando backward slicing a partir de chamadas de API sensíveis e um modelo híbrido Transformer+GNN sobre grafos de dependência. A proposta ataca diretamente a opacidade dos classificadores de malware baseados em aprendizado de máquina, que hoje operam majoritariamente como caixa-preta.
Classificadores de malware baseados em machine learning costumam entregar apenas um rótulo (malicioso/benigno, família X) sem explicar qual parte do código levou à decisão, o que limita seu uso em contextos onde um analista precisa justificar e documentar a conclusão — como em um laudo de engenharia reversa.
A abordagem proposta começa aplicando backward slicing sensível a contexto a partir de chamadas de API relevantes para segurança (por exemplo, chamadas de rede, manipulação de registro, criação de processos), reconstruindo as cadeias de dependência de controle e dados que levam a cada chamada. Cada comportamento identificado é então representado como um grafo estruturado de blocos básicos relacionados. Sobre essa representação, um modelo Transformer captura a semântica em nível de instrução de cada bloco, enquanto uma rede neural em grafos (GNN) modela as dependências estruturais entre os blocos do grafo de comportamento; as duas representações são fundidas para a classificação final.
O diferencial fica por conta da atribuição baseada em atenção, que aponta quais regiões de código específicas foram responsáveis por cada comportamento malicioso detectado — ou seja, o sistema não só diz "isto é malware", mas também "este bloco básico implementa a exfiltração" ou "este trecho implementa a persistência". Os autores também introduzem uma métrica de cobertura de comportamento, que mede se comportamentos maliciosos rotulados manualmente foram de fato detectados, complementando as métricas tradicionais de classificação.
Para quem faz engenharia reversa em contexto pericial, esse tipo de atribuição em nível de bloco básico tem valor direto: reduz o tempo de triagem manual ao apontar onde olhar primeiro dentro do binário, e produz uma explicação auditável que pode embasar diretamente a seção técnica de um laudo, em vez de depender apenas do veredito de uma caixa-preta estatística.