An Explainable Memory Forensics Approach for Malware Analysis

Título: Uma Abordagem Explicável de Forense de Memória para Análise de Malware

1. O Problema

A análise de malware enfrenta desafios crescentes devido ao desenvolvimento de ameaças furtivas (evasivas, ofuscadas, esteganográficas) tanto em Windows quanto em Android. As técnicas tradicionais de análise estática e dinâmica tornam-se ineficazes contra essas ameaças, especialmente quando o código é ofuscado ou quando o malware reside apenas na memória (fileless malware), sem deixar rastros no disco.

• Limitações Atuais: Embora existam ferramentas automatizadas para detecção de malware em memória (como o Volatility), seus outputs são complexos, técnicos e difíceis de interpretar para analistas não especialistas. A maioria dos modelos atuais carece de explicabilidade (não justificam por que algo é malicioso) e depende fortemente da inspeção manual de especialistas.
• Lacuna de Pesquisa: Não há estudos comparativos robustos entre a extração de memória completa (Full RAM) e o despejo de memória de processos-alvo (Target-Process), nem aplicações de Grandes Modelos de Linguagem (LLMs) para interpretar esses dados forenses de forma compreensível.

2. Metodologia

Os autores propõem um pipeline de forense de memória assistido por IA, utilizando LLMs de propósito geral (como ChatGPT-4o-mini e Gemini 2.0-flash-lite) e algoritmos de Processamento de Linguagem Natural (NLP).

• Coleta de Dados (Dataset):
  • Amostras reais de malware para Windows (Ransomware) e Android (Droppers e APKs falsos).
  • Execução em ambientes controlados (Sandbox/VirtualBox) para evitar danos.
• Extração de Memória:
  • Windows: Extração de RAM completa via hypervisor (VirtualBox) usando VBoxManage, sem necessidade de modificação do kernel ou privilégios elevados no sistema convidado.
  • Android: Extração de RAM completa exigindo recompilação do kernel para carregar o módulo LiME (Linux Memory Extractor). Para facilitar esse processo complexo, os autores utilizaram um fluxo de trabalho "Human-in-the-loop", onde o ChatGPT atuou como assistente interativo para resolver erros de compilação e configuração do kernel.
  • Despejo de Processo-Alvo: Uso de Fridump (baseado em Frida) para Android e WinPmem para Windows, focando apenas na memória do processo malicioso.
• Análise e Interpretação:
  • Ferramentas Clássicas: Uso do Volatility (v2 e v3) para extrair artefatos forenses (processos, redes, módulos, etc.).
  • Integração com IA:
    1. Interpretação de Output: O LLM traduz os outputs tabulares do Volatility (difíceis de ler) em relatórios humanos legíveis.
    2. Extração de IoCs: O LLM e algoritmos NLP baseados em regras extraem automaticamente Indicadores de Comprometimento (IoCs) das strings e artefatos da memória.
    3. Classificação Explicável: O modelo classifica a amostra como benigna, suspeita ou maliciosa, fornecendo uma justificativa baseada nos artefatos encontrados (ex: "Malicioso devido ao processo injetado X e conexão com o IP Y").
  • Comparação: Os resultados foram comparados com ferramentas tradicionais (VirusTotal, Drebin, Entroplyzer) e com um pipeline NLP personalizado baseado em regras.

3. Principais Contribuições

1. Pipeline Explicável de Forense de Memória: Introdução de um fluxo de trabalho que utiliza LLMs para tornar os artefatos voláteis e os outputs de ferramentas forenses compreensíveis e acionáveis para analistas (especialistas e não especialistas).
2. Análise Comparativa Sistemática: Estudo detalhado das diferenças entre Extração de RAM Completa vs. Despejo de Processo-Alvo.
   • RAM Completa: Oferece visibilidade sistêmica (interações com o OS, rede, outros processos).
   • Processo-Alvo: Oferece maior densidade de IoCs específicos da aplicação, com menos ruído.
3. Validação de LLMs como Assistentes Forenses: Demonstração de que LLMs de propósito geral podem superar ferramentas tradicionais na detecção de IoCs dinâmicos e na geração de explicações contextuais, sem necessidade de treinamento específico em grandes conjuntos de dados forenses (que são escassos).
4. Reprodutibilidade e Transparência: Publicação dos artefatos do kernel compilado e metadados de build, além da adoção de uma abordagem assistida por IA para reduzir a complexidade na configuração de ambientes de extração de memória Android.

4. Resultados

• Windows:
  • A análise baseada em LLMs extraiu consistentemente mais IoCs do que o VirusTotal, especialmente aqueles relacionados a comportamento dinâmico, injeção de processos e manipulação de nível de kernel.
  • O VirusTotal foca em assinaturas estáticas, enquanto a análise de memória revela artefatos transitórios (código injetado, threads ativas).
  • O ChatGPT demonstrou maior consistência nas explicações em comparação ao Gemini.
• Android:
  • O LLM alcançou uma precisão média de 0,93 na classificação de malware usando Volatility 3.
  • A abordagem detectou APKs falsos (repacks) identificando padrões de repackaging e payloads injetados que ferramentas estáticas (Drebin, Entroplyzer) falharam em detectar devido a técnicas anti-análise.
  • A análise de RAM completa revelou interações do sistema (arquivos, rede) que o despejo de processo isolado não capturou, enquanto o despejo de processo focou em chamadas de API e permissões específicas.
• Comparativo Geral:
  • A análise baseada em memória encontrou IoCs que ferramentas baseadas em reputação (VirusTotal) não viram, como interações com sistema de arquivos temporários, bibliotecas nativas ocultas e eventos de rastreamento.
  • A abordagem LLM + Memória é complementar, não substituta, das ferramentas tradicionais.

5. Significado e Impacto

• Democratização da Forense: Ao traduzir outputs técnicos complexos em linguagem natural, a abordagem reduz a barreira de entrada para analistas menos experientes, permitindo que eles entendam o comportamento do malware sem precisar dominar profundamente a sintaxe do Volatility.
• Eficácia contra Malware Furtivo: A combinação de forense de memória (que captura o estado volátil e descriptografado) com a capacidade de raciocínio contextual dos LLMs oferece uma defesa superior contra malware que evade detecções estáticas e dinâmicas tradicionais.
• Novo Paradigma de Investigação: O uso de LLMs como assistentes interativos para configuração de ferramentas forenses (como a recompilação de kernels) sugere um futuro onde a IA acelera a preparação de ambientes de investigação, reduzindo o tempo de configuração e erros humanos.
• Desafios Futuros: O artigo reconhece a necessidade de usar LLMs offline para garantir a privacidade dos dados (já que dumps de memória podem conter credenciais em texto puro) e a necessidade de validar a metodologia em dispositivos físicos reais e kernels mais modernos.

Em suma, o artigo valida que a integração de LLMs na forense de memória não apenas melhora a detecção de malware, mas também transforma a análise forense em um processo mais transparente, explicável e eficiente.