Pesquisa propõe metrica objetiva para medir a 'sofisticacao' de malware a partir de analise estatica
Um artigo academico sistematiza, por meio de analise estatica binaria, o que de fato significa classificar um malware como 'sofisticado', termo usado de forma inconsistente na literatura. Os autores reaproveitam caracteristicas do padrao de qualidade de software ISO/IEC 25010 -- como confiabilidade, manutenibilidade, flexibilidade e seguranca -- e avaliam quais delas podem ser medidas sem executar o binario.
O problema que o artigo ataca e bastante concreto para quem faz triagem de malware em laboratorios forenses: relatorios de incidentes e laudos periciais frequentemente chamam uma ameaca de 'sofisticada' sem criterio objetivo, o que dificulta comparar amostras, justificar priorizacao de recursos de investigacao e comunicar risco a stakeholders nao tecnicos. Os autores propoem preencher essa lacuna emprestando o vocabulario da norma ISO/IEC 25010, usada originalmente para avaliar qualidade de software comum, e perguntando quais dessas dimensoes -- confiabilidade, manutenibilidade, flexibilidade e seguranca/evasao -- tem equivalente mensuravel em um binario malicioso.
O metodo e deliberadamente limitado a analise estatica: os pesquisadores partem da premissa de que, em muitos casos de pericia real, nao ha codigo-fonte disponivel e a execucao dinamica (sandboxing) e inviavel por riscos operacionais, ambiente de analise incompatível ou tecnicas anti-sandbox embutidas na amostra. Isso aproxima a proposta do dia a dia de analistas forenses de malware, que no mundo real frequentemente precisam tirar conclusoes sobre uma amostra apenas a partir do binario estatico -- engenharia reversa de estruturas de codigo, ofuscacao, empacotamento e uso de tecnicas de anti-deteccao -- antes de decidir se vale a pena escalar para analise dinamica.
A contribuicao central e um mapeamento sistematico de quais atributos de qualidade de software sao, ao mesmo tempo, relevantes para descrever o comportamento adversarial de um malware e observaveis estaticamente, servindo de base para frameworks futuros de pontuacao. Na pratica, isso pode se traduzir em criterios mais consistentes para classificar amostras em laudos periciais, documentar por que um malware foi considerado mais ou menos elaborado, e padronizar linguagem entre diferentes peritos e laboratorios -- reduzindo a subjetividade que hoje caracteriza o uso do termo 'sofisticado' em relatorios de resposta a incidentes.
O trabalho e normativo/metodologico, nao traz uma ferramenta pronta nem testa a proposta em um dataset de malwares reais, o que limita sua aplicabilidade imediata. Ainda assim, para quem pratica engenharia reversa em contexto pericial, a proposta oferece um vocabulario mais rigoroso para justificar decisoes de triagem e para compor laudos tecnicos defensaveis em juizo, onde a credibilidade da classificacao de uma ameaca pode ser questionada pela defesa.