💻 computer science

The Sound of Malware: A Memory Forensics Approach for Android Malware Analysis via Audio Signals

Questo articolo propone \approachname, un framework di analisi forense della memoria che converte il bytecode statico e gli snapshot della memoria di esecuzione precoce dei malware Android in forme d'onda audio per rilevare minacce furtive tramite l'analisi strutturale basata su segnali, raggiungendo un'accuratezza fino al 98,0% senza fare affidamento sulla tradizionale ingegneria delle caratteristiche o sul disassemblaggio.

Autori originali: Silvia Lucia Sanna, Massimo Palozzi, Leonardo Regano, Riccardo Lazzeretti, Giorgio Giacinto

Pubblicato 2026-06-08

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Silvia Lucia Sanna, Massimo Palozzi, Leonardo Regano, Riccardo Lazzeretti, Giorgio Giacinto

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di cercare di capire se una persona è una spia o un normale cittadino.

Il Vecchio Metodo (Analisi Tradizionale):
Di solito, gli esperti di sicurezza cercano di catturare le app cattive leggendo le loro "carte d'identità" (permessi) o ascoltando le loro "parole dette" (chiamate API). Ma le spie moderne sono intelligenti. Indossano travestimenti (offuscamento del codice), nascondono la loro vera voce (packing) o parlano solo quando nessuno sta guardando (caricamento dinamico). Questo rende i vecchi metodi meno efficaci perché la spia cambia il proprio aspetto quel tanto che basta per sembrare innocente.

Il Nuovo Metodo (RAMwavDroid):
Questo articolo presenta un nuovo detective chiamato RAMwavDroid. Invece di cercare di capire il significato del codice di un'app, tratta l'app come un pezzo di musica.

Ecco come funziona, passo dopo passo:

1. Trasformare il Codice in Suono

Immagina di avere un diario segreto scritto in un codice strano. Invece di cercare di tradurre le parole, prendi ogni singola lettera e la trasformi in una nota musicale.

Se la lettera è "A", suoni una nota bassa.
Se la lettera è "Z", suoni una nota alta.

RAMwavDroid fa esattamente questo con il codice informatico. Prende i numeri grezzi (byte) che compongono un'app e li trasforma direttamente in un file audio (un file WAV o MP3). Non gli importa cosa significa il codice; gli importa solo del ritmo e del pattern.

2. Il "Riflesso" vs. Il "Progetto"

I ricercatori hanno testato due modi diversi per creare questo suono:

Il Progetto (Analisi Statica): Hanno preso il file di installazione dell'app (l'APK) prima ancora che venisse aperta. È come ascoltare la registrazione di una canzone prima che la band inizi a suonare. È un buon punto di partenza, ma la canzone potrebbe suonare diversa una volta che gli strumenti iniziano effettivamente a suonare.
L'Esibizione dal Vivo (Analisi Dinamica): Questo è la grande scoperta del paper. Hanno aspettato che l'app fosse effettivamente in esecuzione su un telefono. Hanno scattato una "istantanea" (snapshot) della memoria dell'app (RAM) mentre era in funzione.
- Analogia: Pensa a un mago. Il "Progetto" è solo il palco vuoto. L' "Esibizione dal Vivo" è il momento in cui il mago tira fuori un coniglio dal cappello. Il coniglio (il codice malevolo) non era visibile nel palco vuoto, ma è sicuramente lì nella fotografia della memoria.

3. Ascoltare il "Battito Cattivo"

Una volta trasformato il codice in suono, hanno usato computer addestrati a riconoscere i pattern musicali (come il modo in cui puoi distinguere una canzone jazz da una rock solo ascoltandola).

Le Buone App: Quando convertite in suono, suonavano come una canzone fluida e uniforme.
Le App Cattive (Malware): Poiché il malware spesso ha strutture nascoste, ripetitive o caotiche (come payload criptati o strani pattern di caricamento), suonavano come una canzone con ritmi strani, sgraziati o loop ripetitivi insoliti.

4. I Risultati

I ricercatori hanno testato questo metodo su migliaia di app.

L'approccio del Progetto è stato buono, ottenendo un'accuratezza di circa il 94%.
L'approccio dell' Esibizione dal Vivo (usando lo snapshot della memoria) è stato incredibile, raggiungendo il 98% di accuratezza.

Perché l'Esibizione dal Vivo è stata migliore?
Perché l' "Esibizione dal Vivo" ha catturato l'app dopo che si era svegliata. Anche se un'app spia nasconde la sua identità nel progetto, deve rivelare la sua vera struttura alla memoria del computer per poter svolgere il suo lavoro. RAMwavDroid cattura questa rivelazione.

5. La Qualità del Suono è Importante?

I ricercatori hanno provato diversi formati audio:

Alta Fedeltà (WAV): Qualità perfetta.
Compresso (MP3): Qualità inferiore, come lo streaming musicale su una cattiva connessione.

Sorprendentemente, la versione MP3 (compressa) funzionava quasi altrettanto bene della versione ad alta qualità. Questo ci dice che la "cattiveria" del malware non risiede nei dettagli minuscoli e perfetti del suono, ma nei grandi pattern strutturali (il ritmo e il battito) che sopravvivono anche quando il suono viene compresso.

Riassunto

RAMwavDroid è come un detective che smette di cercare di leggere la mente del sospettato e invece ascolta il ritmo dei suoi passi. Anche se il sospettato cerca di camminare silenziosamente o di indossare scarpe diverse, il ritmo unico della sua attività malevola lascia un "suono" distinto che è molto difficile da nascondere nella memoria del computer.

Concetto Chiave: Trasformando il codice informatico in audio e ascoltando l' "esibizione dal vivo" della memoria di un'app, questo metodo può individuare malware subdoli che i metodi tradizionali perdono, raggiungendo un tasso di successo del 98%.

Riepilogo Tecnico: RAMwavDroid – Un approccio di analisi forense della memoria per il rilevamento di malware Android tramite segnali audio

Definizione del Problema

Il rilevamento dei malware su Android affronta sfide crescenti a causa delle avanzate strategie di evasione impiegate dalle moderne minacce, tra cui l'offuscamento del codice, il caricamento dinamico, il packing e la manipolazione steganografica. Queste tecniche degradano significativamente l'efficacia dei sistemi tradizionali basati su firme e dei modelli di Machine Learning (ML) che si affidano a indicatori semantici espliciti come permessi, chiamate API o strutture di controllo del flusso. Sebbene l'analisi statica sia computazionalmente efficiente, è facilmente eludibile; al contrario, l'analisi dinamica offre una migliore resilienza ma soffre di overhead di esecuzione, copertura comportamentale incompleta e suscettibilità alle tecniche di anti-analisi. Inoltre, gli esistenti metodi di rilevamento malware basati su audio si concentrano principalmente su binari statici, fallendo nel catturare artefatti volatili del runtime, come payload decriptati, librerie caricate dinamicamente e codice generato a runtime che sono invisibili nei file binari degli applicativi pacchettizzati.

Metodologia: RAMwavDroid

Gli autori propongono RAMwavDroid, un framework unificato che unisce la forense della memoria e la codifica audio per rilevare malware Android. Il concetto centrale consiste in uno "shift di modalità" dalla modellazione semantica del programma alla rappresentazione strutturale basata su segnale.

1. Acquisizione dei Dati e Sonificazione

Il framework elabora due tipi di input:

Analisi Statica: Estrae il bytecode Dalvik (classes.dex) dagli archivi APK.
Analisi Dinamica: Acisisce snapshot della memoria a livello di processo immediatamente dopo l'inizializzazione dell'applicazione utilizzando Fridump (uno strumento user-space basato su Frida). Questo cattura regioni di memoria leggibili inclusi l'heap, lo stack, le librerie condivise e le strutture di runtime senza richiedere privilegi di root o modifiche al kernel.

Mappatura Binario-Audio:
Sia il bytecode statico che i dump di memoria dinamica vengono trasformati in forme d'onda audio attraverso la mappatura diretta binario-forma d'onda (Algoritmo 1).

Ogni byte $b_i \in [0, 255]$ viene interpretato direttamente come ampiezza di un campione audio.
Non viene eseguito alcun disassemblaggio, normalizzazione, filtraggio semantico o astrazione a livello di opcode prima della conversione.
Ciò preserva i pattern strutturali di basso livello (ripetizione, allineamento, padding, artefatti di cifratura) e tratta il flusso binario come un segnale numerico ordinato.

Il sistema sperimenta tre formati di codifica:

WAV8: Lossless, 8-bit PCM (mappatura diretta byte-campione).
WAV16: Lossless, 16-bit PCM (espande la gamma dinamica).
MP3: Lossy, compressione percettiva (funge da perturbazione strutturata per testare la robustezza).

2. Estrazione delle Caratteristiche e Classificazione

I segnali audio risultanti vengono elaborati utilizzando tre paradigmi distinti:

Descrittori Artigianali (Handcrafted): Caratteristiche tradizionali di elaborazione del segnale (es. MFCC, centroid spettrale, zero-crossing rate, energia RMS) estratte tramite librosa.
Deep Learning (CNN): Una Rete Neurale Convoluzionale 1D (CNN1D) che apprende pattern gerarchici direttamente dalle rappresentazioni tempo-frequenza.
Embedding Transformer: Un modello pre-addestrato Wav2Vec2 (auto-supervisionato su dati vocali) utilizzato per estrarre embedding contestuali di alto livello dalle forme d'onda grezze, sfruttando il transfer learning.

3. Configurazione Sperimentale

Dataset:
- CICMalDroid2020: Utilizzato per la valutazione statica e dinamica (300 benigni, 300 malevoli).
- VirusTotal/Androzoo: Un dataset di malware furtivi (500 malevoli, 500 benigni) contenente campioni con offuscamento e tecniche di anti-analisi (2020–2024).
Strategie delle Regioni di Memoria: L'analisi dinamica valuta varie combinazioni di regioni di memoria (es. apk_full_stack, base_apk, complete_memory_regions) per identificare artefatti di runtime discriminanti.

Contributi Chiave

Pipeline di Sonificazione della Memoria Dinamica: L'introduzione di una pipeline che integra l'acquisizione della memoria a livello di processo con la codifica binario-audio, consentendo l'analisi degli artefatti di runtime insieme al bytecode statico.
Valutazione Sistematica di Codifiche e Regioni: Un confronto esaustivo tra i formati di codifica audio (WAV8, WAV16, MP3) e le strategie di selezione delle regioni di memoria per identificare quali artefatti di runtime forniscono il maggior potere discriminante.
Validazione delle Prestazioni: Dimostrazione che la sonificazione dinamica raggiunge un'accuratezza elevata (fino al 98,0%), superando la sonificazione statica e gli approcci competitivi allo stato dell'arte, senza fare affidamento su fragili ingegnerie di caratteristiche semantiche.

Risultati

Analisi Statica (CICMalDroid2020)

La migliore configurazione statica (WAV8 + Caratteristiche Manuali + Random Forest) ha raggiunto un'accuratezza del 93,9%.
Le codifiche WAV16 e MP3 hanno mostrato differenze di prestazioni marginali (92,3% e 92,6%, rispettivamente), suggerendo che una profondità di bit maggiore non aggiunge informazioni discriminanti e che una moderata compressione lossy preserva le caratteristiche strutturali.
Gli embedding di Wav2Vec2 hanno ridotto significativamente il tempo di estrazione delle caratteristiche (da 6–7 ore a 2 ore) ma hanno comportato un leggero calo dell'accuratezza (91,5%).

Analisi Dinamica (CICMalDroid2020)

Prestazioni di Picco: Accuratezza del 98,0% con 0 Falsi Positivi e 1 Falso Negativo.
Strategia Ottimale: Questa prestazione è stata raggiunta da sette strategie di selezione delle regioni che combinavano segmenti di codice applicativo (es. base.apk, .odex) con componenti del contesto di esecuzione (es. stack frames).
Robustezza della Codifica: Sebbene WAV8 avesse l'accuratezza media più alta (95,8%), tutte e tre le codifiche hanno raggiunto il picco del 98,0% sotto la selezione ottimale delle regioni. Ciò indica che le informazioni discriminanti dipendono da pattern strutturali grossolani piuttosto che dalla precisione fine dell'ampiezza.
Importanza della Regione: Le strategie che utilizzavano solo la memoria dello stack (90,0%) o tutte le regioni di memoria indiscriminatamente (93,0%) hanno ottenuto risultati inferiori, evidenziando che l'interazione tra codice statico e contesto di runtime è critica.

Valutazione di Malware Furtivi (Dataset VirusTotal)

Su un dataset di 500 campioni di malware offuscati/anti-analisi, la migliore configurazione (apk_full_stack con WAV8) ha ottenuto circa il 99,0% di macro-F1 (98,9% di accuratezza) utilizzando un classificatore MLP.
Le prestazioni sono state ampiamente indipendenti dal modello: Random Forest, metodi di boosting, CNN1D e SVM hanno convergente verso punteggi quasi identici quando venivano selezionate le regioni di memoria informative.
Analisi dei Fallimenti: I campioni classificati erroneamente includevano un'app "zona grigia" (un VPN legittimo con componenti intrusivi) e un app spyware strutturalmente semplice privo di complessi pattern di entropia, suggerendo che l'estrema semplicità o la legittimità ibrida possono oscurare le firme strutturali.

Confronto con lo Stato dell'Arte

La sonificazione dinamica di RAMwavDroid (98,0%) ha superato:

Approcci basati su immagini (97,25%).
Modelli BlockDroid CNN (97,38%).
Configurazioni di sonificazione statica.

Significato e Rivendicazioni

Il documento afferma che RAMwavDroid dimostra che i pattern strutturali incorporati nella memoria di runtime forniscono una rappresentazione del segnale robusta per il rilevamento del malware Android. Le scoperte chiave includono:

Shift di Modalità: Trattare il malware come un segnale anziché come un oggetto semantico permette di rilevare pattern (es. firme spettrali negli spettrogrammi) che eludono l'analisi statica tradizionale.
Gli Artefatti di Runtime sono Critici: Gli snapshot della memoria dinamica catturano i payload decriptati e i contesti di esecuzione che sono invisibili negli APK statici, migliorando significativamente la separabilità tra applicazioni benigne e malevole.
Robustezza alla Compressione: Il fatto che la compressione lossy MP3 non degradi la prestazione di picco suggerisce che le firme del malware sono codificate in pattern strutturali stabili e grossolani piuttosto che in variazioni di byte fini e fragili.
Indipendenza dal Modello: Una volta selezionate le corrette regioni di memoria, lo specifico algoritmo di classificazione (ML tradizionale, CNN o Transformer) diventa meno critico, implicando che la rappresentazione del segnale stesso è altamente discriminante.

Gli autori concludono che la sonificazione della memoria dinamica è un approccio complementare promettente alle tecniche tradizionali, offrendo un'elevata accuratezza senza la necessità di de-offuscamento o complessa ingegneria delle caratteristiche. Si propone come lavoro futuro la scalabilità verso dataset più ampi e l'indagine sulla robustezza contro l'offuscamento avanzato.