8 publicações marcadas com esta tag.
Um estudo revisita o dataset Elliptic++, citado em mais de 1.300 trabalhos acadêmicos de forense de criptomoedas, e identifica vazamento de informação futura causado por uma divisão de dados que não respeita a ordem temporal. Ao corrigir o pipeline com uma divisão estritamente temporal, o F1-score de um Random Forest na classe ilícita despenca de 0,846 para 0,291.
Fonte ↗Usando o dataset EMBER2024, pesquisadores testaram se modelos de machine learning conseguem prever a data de "primeira detecção" (first-seen) de um executável ou apontar quando seu timestamp de compilação PE/COFF é implausível. A regressão direta do first-seen produziu erros do tamanho de boa parte da janela de coleta do próprio dataset, tornando a abordagem inútil para ordenação cronológica. Já classificadores binários conseguiram identificar, com boa discriminação, timestamps claramente implausíveis — uma tarefa mais modesta, mas de uso prático real.
Fonte ↗Um estudo de validação de um pipeline de triagem de forense de memória para imagens Windows — que converte saídas do Volatility 3 em grafos e aplica um classificador neural (GINE) combinado com detectores one-class — descobriu que amostras rotuladas como "benignas" no dataset MalVol-25 exibem sinais de injeção de processo e indicadores de comando-e-controle em praticamente todos os casos de controle (15/15 e 18/18). O mesmo defeito reaparece em datasets públicos amplamente citados, como o CIC-MalMem-2022, onde 53% das amostras "benignas" carregam indicadores de injeção. Os autores chamam isso de "label-signal mismatch": a classe benigna nunca foi de fato verificada, apenas presumida pela proveniência da coleta.
Fonte ↗Pesquisadores testaram, em 17.577 fluxos TLS extraidos de 62 capturas reais de Cobalt Strike, a hipotese comum de que combinar metadados de fluxo com fingerprints de handshake TLS melhora a deteccao de trafego de comando e controle (C2). Ao remover vazamentos de dados presentes em avaliacoes anteriores, encontraram que o ganho real da fusao e minimo e que, sob ataque adversarial, todos os modelos testados perdem para um baseline trivial.
Fonte ↗Pesquisadores apresentam o EGAMA-RC, um framework de triagem de malware para forense de memória que vai além da acurácia bruta de classificação, incorporando calibração de risco, detecção de novidade e roteamento de casos incertos para revisão humana. Em três datasets de malware, o sistema aceitou automaticamente 93,12% das amostras com 99,86% de acurácia nos casos aceitos e taxa de falso-positivo de 0,136%, com inferência rápida via XGBoost (latência sub-milissegundo).
Fonte ↗Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).
Fonte ↗Artigo na FSI: Digital Investigation propõe um modelo de ML desenhado para gerar saídas defensáveis em investigações — não apenas alertas de triagem — na classificação multi-classe de ameaças por e-mail, treinado sobre um dataset sintético de alta fidelidade. A proposta busca conciliar detecção automatizada com requisitos de evidência pericial.
Fonte ↗Artigo publicado no Journal of Digital Forensics, Security and Law (JDFSL) apresenta um plugin para o Tor Browser e uma infraestrutura de servidor central que permitem a investigadores anotar, coletar e compartilhar conteúdo da dark web preservando a solidez forense dos dados, com o dataset resultante usado para treinar classificadores de machine learning que atingiram entre 85% e 96% de acurácia em validação cruzada de cinco dobras.
Fonte ↗