18 publicações marcadas com esta tag.
O SANS ISC publicou um guia prático para implantar o Ghidra Server, componente de colaboração do Ghidra que transforma projetos locais em repositórios compartilhados e versionados. A proposta resolve um problema comum em laboratórios baseados em snapshots de VM: a perda de anotações, comentários e estruturas de engenharia reversa sempre que a máquina é revertida a um estado anterior.
Fonte ↗Pesquisadores apresentam o VMSpec, uma ferramenta que reconstrói automaticamente a especificação do processador virtual usado por malware ofuscado via VM, permitindo que decompiladores convencionais como o Ghidra analisem o bytecode diretamente. Em testes com 147 amostras de benchmark e seis algoritmos de geração de domínios (DGA) extraídos de malware real, a técnica removeu a ofuscação de quase todas as amostras, produzindo saída comparável à decompilação do código original.
Fonte ↗Pesquisadores apresentam o MARS, um framework que compara dois modos de usar LLMs na triagem de malware — veredito direto versus pontuação de alegações comportamentais por regras externas — testando 1.195 binários PE e ELF com seis modelos de linguagem. A classificação direta se mostrou mais precisa e com melhor recall de alertas maliciosos em quase todas as combinações avaliadas.
Fonte ↗Um artigo academico sistematiza, por meio de analise estatica binaria, o que de fato significa classificar um malware como 'sofisticado', termo usado de forma inconsistente na literatura. Os autores reaproveitam caracteristicas do padrao de qualidade de software ISO/IEC 25010 -- como confiabilidade, manutenibilidade, flexibilidade e seguranca -- e avaliam quais delas podem ser medidas sem executar o binario.
Fonte ↗O trabalho propõe um framework de análise de malware que não apenas classifica se um programa é malicioso, mas aponta exatamente quais blocos básicos de código são responsáveis por cada comportamento, usando backward slicing a partir de chamadas de API sensíveis e um modelo híbrido Transformer+GNN sobre grafos de dependência. A proposta ataca diretamente a opacidade dos classificadores de malware baseados em aprendizado de máquina, que hoje operam majoritariamente como caixa-preta.
Fonte ↗A Netresec apresentou o FlowCarp, uma ferramenta que classifica famílias de malware a partir de características estatísticas do tráfego de rede capturado em PCAP, sem depender de assinaturas de bytes ou de engenharia reversa completa do binário. O método compara tamanhos de pacote, temporização e padrões de requisição/resposta contra modelos previamente treinados, permitindo identificar protocolos de C2 mesmo quando a carga está cifrada ou ofuscada.
Fonte ↗Um artigo no arXiv apresenta o ALIBI, um ataque que engana ferramentas de triagem de malware baseadas em LLM ao inserir, dentro do próprio binário, uma seção de texto não executável que narra uma justificativa falsa e plausível de produto de segurança legítimo. Sem alterar imports nem comportamento executável, o ataque reduziu drasticamente a taxa de detecção do Gemini 2.5 Pro e provocou quedas relevantes de severidade e confiança até em GPT-5.5 Pro e Claude Opus 4.7.
Fonte ↗O sistema Echo propõe decompilação por correspondência exata: em vez de apenas prever código plausível, ele recompila candidatos e compara o assembly resultante com o binário-alvo, usando essa comparação como guia de busca iterativa. Testado contra o binário do malware Mirai, superou GPT-5.6 e Codex na quantidade de funções recuperadas com correspondência exata.
Fonte ↗O SEMA-GUARD é um framework que combina análise semântica com redes neurais de grafos para detectar vulnerabilidades em código compilado quando o código-fonte não está disponível — cenário típico de análise de malware, firmware e sistemas embarcados. Ao enriquecer o grafo de fluxo de controle com detalhes de baixo nível (manipulação de pilha, acessos de memória, fluxo de dados), o método atingiu 85,1% de acurácia e F1 de 0,801 em um benchmark derivado do Juliet Test Suite traduzido para assembly.
Fonte ↗Pesquisadores testaram 22 modelos de linguagem contra 13 contratos inteligentes construídos deliberadamente para disfarçar mecanismos de drenagem de fundos, em um cenário que simula forense de bytecode em investigações de blockchain. O resultado: técnicas de camuflagem simples derrubaram a taxa de detecção em 20 pontos percentuais, e apenas 5 dos 22 modelos ultrapassaram 50% de acerto.
Fonte ↗Pesquisadores propõem um framework que usa invariantes estruturais de empacotadores executáveis (packers) para apoiar a atribuição forense de famílias de malware polimórfico entre campanhas distintas. O método foi validado com aprendizado de máquina e busca sinais que sobrevivam à mudança constante de payload entre variantes. O artigo foi publicado na revista Forensic Science International: Digital Investigation (volume 59).
Fonte ↗Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
Fonte ↗Pesquisadores apresentam o ICFlowNet, um framework de aprendizado em grafos que recupera arestas de fluxo de controle indireto (chamadas indiretas, tail calls, jump tables e returns) em binários x86-64 sem símbolos de depuração. O trabalho também propõe um protocolo de avaliação mais rigoroso, com deduplicação em nível de função e separação por pacote, para evitar vazamento de dados entre treino e teste, um problema comum na literatura anterior.
Fonte ↗Um pesquisador do SANS Internet Storm Center processou 1,3 TB de amostras de malware do MalwareBazaar, cobrindo fevereiro de 2020 a julho de 2026, para identificar qual toolchain de compilação gerou cada binário PE malicioso. O script, construído sobre a biblioteca pefile, combina leitura do Rich Header, do cabeçalho CLR (.NET) e heurísticas de string para atribuir compilador/linker às amostras. O resultado mostra predominância de binários 32-bit, forte presença do MSVC entre as amostras identificáveis e uma fatia relevante de amostras sem toolchain identificável, provavelmente por empacotamento ou remoção de metadados.
Fonte ↗O pesquisador Didier Stevens (ISC/SANS) analisou uma variante do loader DOUBLECUP que anexa um script PowerShell em texto puro logo após um arquivo PNG válido, sem embuti-lo em pixels ou metadados. A extração usa um truque simples: um marcador de quebra de linha (CR+LF) seguido de FINDSTR para localizar e redirecionar o script ao interpretador, dispensando qualquer parser customizado.
Fonte ↗A Netresec publicou uma engenharia reversa do protocolo de comando e controle (C2) binário usado pelo RAT CNCMachineRMS, malware entregue como estágio final de cadeias de ataque BabaDeda via ClickFix com CAPTCHAs falsos. A análise, apoiada em capturas de sandbox e no motor de detecção FlowCarp, mapeou múltiplos servidores C2 e dois domínios de registro recente, entregando hashes e IOCs para defensores de rede.
Fonte ↗Pesquisadores construíram do zero, com mais de 5.000 horas de trabalho de especialistas em engenharia reversa, um benchmark livre de contaminação com 19 programas privados de escala real e 44 primitivas anti-análise proprietárias, gerando 262 binários e 1.572 tarefas avaliadas de forma determinística. O modelo mais forte testado resolveu completamente apenas 31,5% das instâncias, evidenciando que a forte capacidade de LLMs em análise de código-fonte não se transfere para análise binária.
Fonte ↗Pesquisadores do time da Volatility detalham como versões modernas do Windows quebraram as técnicas antigas de detecção de raw sockets em memória, e apresentam um plugin para Volatility 3 que localiza essas estruturas via pool tag. A técnica oferece um artefato forense direto para identificar malware que faz sniffing de rede ou constrói pacotes customizados para C2.
Fonte ↗