Grafos heterogêneos melhoram a classificação de comportamento pós-infecção de malware
Pesquisadores apresentam uma análise empírica de comportamento pós-infecção em 37 famílias de malware usando execução dinâmica em sandbox (CAPEv2) e modelagem por grafos heterogêneos. A ferramenta resultante, HeteroScan, classifica famílias e gera relatórios de analista mapeados ao MITRE ATT&CK.
O artigo parte de uma lacuna comum na pesquisa de detecção de malware: a maioria dos esforços se concentra em decidir se um arquivo é malicioso antes da execução, e muito menos em caracterizar o que ele efetivamente faz depois de infectar um sistema. Os autores rodaram amostras de 37 famílias de malware em sandbox dinâmico (CAPEv2) e capturaram os traços comportamentais — chamadas de API, alterações de registro, atividade de rede e criação de processos — representando-os como grafos heterogêneos com cinco tipos de nó e sete tipos de relação, em vez do vetor de características plano tradicionalmente usado nesse tipo de análise.
Tecnicamente, a escolha por grafos preserva a estrutura relacional entre os eventos (por exemplo, qual processo abriu qual chave de registro e depois fez qual conexão de rede), informação que se perde quando tudo é compactado em um vetor de contagens. Um ensemble de votação treinado sobre características estruturais extraídas desses grafos atingiu 94,44% de acurácia e MCC de 0,863 na tarefa de classificação, superando por 7,4 pontos percentuais em MCC uma linha de base com representação comportamental plana. Um classificador multiclasse adicional foi capaz de distinguir 24 das 37 famílias, e os autores complementam o pipeline com uma camada de explicação baseada em LLM que gera relatórios legíveis por analistas, já mapeados para técnicas do MITRE ATT&CK.
Na prática, esse tipo de abordagem interessa diretamente a quem faz resposta a incidentes e análise de malware em contexto pericial: em vez de apenas rotular uma amostra como maliciosa, a ferramenta (disponibilizada publicamente como HeteroScan) ajuda a reconstruir o que a amostra fez no sistema comprometido — quais artefatos de registro, rede e processo foram tocados — o que é exatamente o tipo de evidência comportamental que sustenta laudos periciais e relatórios de IR. A mapeação automática para ATT&CK também reduz o trabalho manual de correlacionar comportamento observado com táticas e técnicas conhecidas durante a triagem de incidentes.