An Explainable Memory Forensics Approach for Malware Analysis

Titolo: Un Approccio di Forensics di Memoria Spiegabile per l'Analisi del Malware

Autori: Silvia Lucia Sanna, Davide Maiorca, Giorgio Giacinto (Università di Cagliari, Italia).

1. Il Problema

L'analisi del malware sta affrontando sfide crescenti a causa dello sviluppo di malware sempre più stealth (evasive, offuscati, steganografici) su piattaforme Windows e Android.

• Limiti delle tecniche tradizionali: L'analisi statica (senza esecuzione) e dinamica (monitoraggio runtime) spesso falliscono contro malware che nascondono il payload, utilizzano tecniche anti-analisi o operano esclusivamente in memoria (fileless malware).
• Carenza di interpretabilità: Sebbene esistano modelli automatizzati per il rilevamento del malware dalla memoria, i loro output sono spesso "scatole nere" privi di interpretabilità. L'analisi della memoria (es. tramite Volatility) richiede ancora un intervento umano esperto per interpretare output complessi e tabellari.
• Mancanza di confronto: Non esistono studi approfonditi che confrontino sistematicamente l'estrazione completa della RAM (Full RAM) con il dump della memoria di un singolo processo target, né sull'applicazione di Large Language Models (LLM) generici per l'interpretazione forense.

2. Metodologia

Gli autori propongono una pipeline di analisi forense assistita dall'AI che integra l'estrazione della memoria volatile con l'elaborazione del linguaggio naturale (NLP) e i LLM.

Fasi del Processo:

1. Acquisizione della Memoria (Sandbox):

   • Windows: Utilizzo di un ambiente virtualizzato (VirtualBox) con acquisizione esterna della RAM tramite VBoxManage (livello hypervisor), evitando l'instrumentazione del kernel guest e garantendo trasparenza.
   • Android: Richiede un approccio assistito dal kernel. È necessaria la ricompilazione del kernel Linux per caricare il modulo LiME (Linux Memory Extractor). Per semplificare questo processo complesso, gli autori hanno utilizzato un approccio "Human-in-the-loop" assistito da ChatGPT per risolvere errori di compilazione e configurazione.
   • Strategie di Dump: Vengono confrontati due approcci:
     • Full RAM Dump: Acquisizione dell'intera memoria fisica (più dettagliata sul sistema).
     • Target-Process Dump: Acquisizione della memoria solo del processo target (usando Fridump su Android e procdump/WinPmem su Windows).

2. Analisi e Interpretazione:

   • Estrazione Artifacts: Utilizzo di Volatility (v2 e v3) per analizzare i dump completi e generazione di profili kernel specifici per Android. Per i dump parziali, estrazione delle stringhe UTF-8.
   • Ruolo degli LLM: Vengono utilizzati LLM generici (ChatGPT-4o-mini e Gemini 2.0-flash-lite) per:
     • Interpretare gli output tabellari di Volatility in linguaggio naturale comprensibile.
     • Estrarre automaticamente Indicatori di Compromissione (IoC) dai dump e dalle stringhe.
     • Classificare il malware e generare report spiegabili (giustificando la classificazione con evidenze specifiche).
   • Confronto NLP: Parallelamente, è stato implementato un pipeline NLP basato su regole (regex ed entropia) per confrontare i risultati con quelli degli LLM.

3. Validazione:

   • I risultati sono stati confrontati con strumenti statali dell'arte come VirusTotal, Drebin ed Entroplyzer.
   • Sono stati analizzati campioni reali di malware (Ransomware per Windows, APK falsi/dropper per Android) eseguiti in sandbox.

3. Contributi Chiave

1. Pipeline Forense Spiegabile (Explainable AI): Introduzione di un flusso di lavoro che utilizza LLM generici per tradurre output forensi complessi in report leggibili e significativi per l'analista, rendendo l'analisi della memoria accessibile anche a non esperti.
2. Analisi Comparativa Sistematica: Confronto dettagliato tra l'acquisizione della RAM completa e il dump del processo target, evidenziando i vantaggi complementari di entrambi (visione sistemica vs. dettaglio applicativo).
3. Dimostrazione dell'Efficienza degli LLM: Dimostrazione che gli LLM generici possono estrarre più IoC rispetto agli strumenti tradizionali e supportare sia esperti che non esperti nell'identificazione di comportamenti malevoli complessi.
4. Riproducibilità e Open Science: Rilascio degli artefatti del kernel compilato e dei metadati di build per facilitare la validazione indipendente, superando la barriera della complessità di setup su Android.

4. Risultati

• Windows:
  • Gli LLM hanno dimostrato una capacità superiore nel contestualizzare output di Volatility (es. regioni di memoria sospette, processi nascosti) rispetto a un approccio NLP basato su regole.
  • Gli LLM hanno estratto un numero maggiore di IoC rispetto a VirusTotal, specialmente quelli legati al comportamento dinamico (injection di processi, modifiche al registro, interazioni filesystem temporanee) che VirusTotal non può vedere in fase statica.
  • ChatGPT ha mostrato una maggiore coerenza nelle spiegazioni rispetto a Gemini.
• Android:
  • L'approccio basato su LLM ha raggiunto un'accuratezza media del 93% nella classificazione di malware su Volatility 3.
  • Gli LLM sono stati in grado di distinguere efficacemente tra APK legittimi e falsi (es. cloni di Netflix, Facebook) identificando pattern di "repacking" e payload iniettati rilevati dal plugin malfind.
  • Il confronto con Drebin ed Entroplyzer ha mostrato che questi strumenti falliscono su molti campioni a causa di tecniche anti-statiche e anti-dynamiche, mentre l'approccio di memoria ha rilevato quasi tutti gli IoC.
• Confronto delle Strategie di Acquisizione:
  • Il Full RAM Dump offre una visione più completa delle interazioni a livello di sistema operativo e delle modifiche globali.
  • Il Target-Process Dump offre una densità maggiore di IoC specifici dell'applicazione, utile per comprendere il comportamento runtime specifico (permessi, chiamate API, codice caricato dinamicamente).

5. Significato e Implicazioni

• Valore Aggiunto per la Forensics Digitale: Il paper dimostra che l'analisi della memoria, potenziata dall'AI, è superiore alle tecniche tradizionali per rilevare malware evasivi e fileless.
• Democratizzazione dell'Analisi: L'uso di LLM per spiegare output tecnici complessi riduce la barriera all'ingresso per gli analisti meno esperti e accelera il tempo di risposta (Time-to-Insight).
• Limiti e Sfide Future:
  • Privacy: L'uso di LLM commerciali online pone rischi per la privacy dei dati sensibili presenti nei dump di memoria (che sono in testo semplice). Gli autori suggeriscono l'uso di LLM offline per futuri scenari reali.
  • Generalizzazione: La necessità di ricompilare il kernel su Android limita l'applicabilità immediata su dispositivi fisici reali con kernel generici moderni, sebbene il metodo sia valido per emulatori e ambienti di ricerca.
  • Affidabilità: È necessaria un'ulteriore valutazione della consistenza delle risposte degli LLM in contesti legali forensi.

In sintesi, il lavoro propone un framework innovativo che trasforma l'analisi della memoria da un processo oscuro e altamente specializzato in un flusso di lavoro spiegabile, automatizzato e più efficace, ponendo le basi per l'integrazione dell'AI generica nelle indagini forensi digitali moderne.