Resumo Técnico: RAMwavDroid – Uma Abordagem de Forense de Memória para Detecção de Malware Android via Sinais de Áudio

Declaração do Problema

A detecção de malware em Android enfrenta desafios crescentes devido às estratégias de evasão avançadas empregadas por ameaças modernas, incluindo ofuscação de código, carregamento dinâmico, empacotamento (packing) e manipulação esteganográfica. Essas técnicas degradam significativamente a eficácia dos sistemas tradicionais baseados em assinaturas e modelos de Aprendizado de Máquina (ML) que dependem de indicadores semânticos explícitos, como permissões, chamadas de API ou estruturas de fluxo de controle. Enquanto a análise estática é computacionalmente eficiente, ela é facilmente evadida; inversamente, a análise dinâmica oferece melhor resiliência, mas sofre com overhead de execução, cobertura comportamental incompleta e suscetibilidade a técnicas de anti-análise. Além disso, os métodos existentes de detecção de malware baseados em áudio focam primariamente em binários estáticos, falhando em capturar artefatos voláteis de tempo de execução, como payloads descriptografados, bibliotecas carregadas dinamicamente e código gerado em tempo de execução, que são invisíveis em binários de aplicativos empacotados.

Metodologia: RAMwavDroid

Os autores propõem o RAMwavDroid, um framework unificado que une a forense de memória e a codificação de áudio para detectar malware de Android. O conceito central envolve uma "mudança de modalidade" da modelagem semântica de programas para a representação estrutural baseada em sinais.

1. Aquisição de Dados e Sonificação

O framework processa dois tipos de entradas:

• Análise Estática: Extrai o bytecode Dalvik (classes.dex) de arquivos APK.
• Análise Dinâmica: Adquire snapshots de memória ao nível de processo imediatamente após a inicialização da aplicação usando o Fridump (uma ferramenta de espaço de usuário construída sobre o Frida). Isso captura regiões de memória legíveis, incluindo o heap, stack, bibliotecas compartilhadas e estruturas de tempo de execução sem exigir privilégios de root ou modificações no kernel.

Mapeamento Binário-para-Áudio:
Tanto o bytecode estático quanto os dumps de memória dinâmica são transformados em formas de onda de áudio através de mapeamento direto de binário-para-waveform (Algoritmo 1).

• Cada byte $b_i \in [0, 255]$ é interpretado diretamente como a amplitude de uma amostra de áudio.
• Nenhuma desassemblagem, normalização, filtragem semântica ou abstração de nível de opcode é realizada antes da conversão.
• Isso preserva padrões estruturais de baixo nível (repetição, alinhamento, preenchimento, artefatos de criptografia) e trata o fluxo binário como um sinal numérico ordenado.

O sistema experimenta três formatos de codificação:

• WAV8: Sem perdas, PCM de 8 bits (mapeamento direto de byte-para-amostra).
• WAV16: Sem perdas, PCM de 16 bits (expande a faixa dinâmica).
• MP3: Com perdas, compressão perceptual (atua como uma perturbação estruturada para testar a robustez).

2. Extração de Características e Classificação

Os sinais de áudio resultantes são processados usando três paradigmas distintos:

• Descritores Artesanais (Handcrafted): Características tradicionais de processamento de sinais (ex: MFCCs, centroide espectral, taxa de cruzamento de zero, energia RMS) extraídas via librosa.
• Aprendizado Profundo (CNN): Uma Rede Neural Convolucional 1D (CNN1D) que aprende padrões hierárquicos diretamente de representações tempo-frequência.
• Embeddings de Transformer: Um modelo Wav2Vec2 pré-treinado (auto-supervisionado em dados de fala) usado para extrair embeddings contextuais de alto nível a partir de formas de onda brutas, aproveitando o aprendizado por transferência (transfer learning).

3. Configuração Experimental

• Datasets:
  • CICMalDroid2020: Usado para avaliação estática e dinâmica (300 benignos, 300 maliciosos).
  • VirusTotal/Androzoo: Um dataset de malware furtivo (500 maliciosos, 500 benignos) contendo amostras com ofuscação e técnicas de anti-análise (2020–2024).
• Estratégias de Região de Memória: A análise dinâmica avalia várias combinações de regiões de memória (ex: apk_full_stack, base_apk, complete_memory_regions) para identificar artefatos de tempo de execução discriminativos.

Principais Contribuições

1. Pipeline de Sonificação de Memória Dinâmica: A introdução de um pipeline que integra a aquisição de memória ao nível de processo com a codificação binário-para-áudio, permitindo a análise de artefatos de tempo de execução junto com o bytecode estático.
2. Avaliação Sistemática de Codificações e Regiões: Uma comparação abrangente de formatos de codificação de áudio (WAV8, WAV16, MP3) e estratégias de seleção de região de memória para identificar quais artefatos de tempo de execução fornecem o poder mais discriminativo.
3. Validação de Desempenho: Demonstração de que a sonificação dinâmica alcança alta precisão (até 98,0%), superando a sonificação estática e abordagens competitivas de estado da arte, sem depender de engenharia de características semânticas frágeis.

Resultados

Análise Estática (CICMalDroid2020)

• A melhor configuração estática (WAV8 + Manual Features + Random Forest) alcançou 93,9% de precisão.
• As codificações WAV16 e MP3 mostraram diferenças marginais de desempenho (92,3% e 92,6%, respectivamente), sugerindo que uma profundidade de bits maior não adiciona informação discriminativa e que uma compressão perceptiva moderada preserva as características estruturais.
• Os embeddings do Wav2Vec2 reduziram significamente o tempo de extração de características (de 6–7 horas para 2 horas), mas resultaram em uma leve queda na precisão (91,5%).

Análise Dinâmica (CICMalDroid2020)

• Desempenho de Pico: 98,0% de precisão com 0 Falsos Positivos e 1 Falso Negativo.
• Estratégia Ótima: Este desempenho foi alcançado por sete estratégias de seleção de região que combinaram segmentos de código da aplicação (ex: base.apk, .odex) com componentes de contexto de execução (ex: frames de stack).
• Robustez de Codificação: Embora o WAV8 tenha tido a maior precisão média (95,8%), todas as três codificações atingiram o pico de 98,0% sob seleção de região ideal. Isso indica que a informação discriminativa depende de padrões estruturais de grão grosso, em vez de precisão de amplitude de grão fino.
• Importância da Região: Estratégias usando apenas memória de stack (90,0%) ou todas as regiões de memória indiscriminadamente (93,0%) tiveram desempenho inferior, destacando que a interação entre o código estático e o contexto de tempo de execução é crítica.

Avaliação de Malware Furtivo (Dataset VirusTotal)

• No dataset de 500 amostras de malware ofuscadas/anti-análise, a melhor configuração (apk_full_stack com WAV8) alcançou aproximadamente 99,0% de macro-F1 (98,9% de precisão) usando um classificador MLP.
• O desempenho foi amplamente independente do modelo; Random Forest, métodos de boosting, CNN1D e SVM convergiram para pontuações quase idênticas quando as regiões de memória informativas foram selecionadas.
• Análise de Falha: As amostras classificadas incorretamente incluíram um app de "zona cinzenta" (VPN legítima com componentes intrusivos) e um app de spyware estruturalmente simples que carecia de padrões de entropia complexos, sugerindo que extrema simplicidade ou legitimidade híbrida pode obscurecer assinaturas estruturais.

Comparação com o Estado da Arte

A sonificação dinâmica do RAMwavDroid (98,0%) superou:

• Abordagens baseadas em imagem (97,25%).
• Modelos CNN BlockDroid (97,38%).
• Configurações de sonificação estática.

Significância e Alegações

O artigo afirma que o RAMwavDroid demonstra que padrões estruturais incorporados na memória de tempo de execução fornecem uma representação de sinal robusta para a detecção de malware em Android. As principais descobertas são:

• Mudança de Modalidade: Tratar o malware como um sinal, em vez de um objeto semântico, permite a detecção de padrões (ex: assinaturas espectrais em espectrogramas) que evadem a análise estática tradicional.
• Artefatos de Tempo de Execução são Críticos: Snapshots de memória dinâmica capturam payloads descriptografados e contextos de execução que são invisíveis em APKs estáticos, melhorando significativamente a separabilidade entre aplicações benignas e maliciosas.
• Robustez à Compressão: O fato de a compressão MP3 com perdas não degradar o desempenho de pico sugere que as assinaturas de malware estão codificadas em padrões estruturais estáveis e de grão grosso, em vez de variações de bytes de grão fino e frágeis.
• Independência de Modelo: Uma vez que as regiões de memória corretas são selecionadas, o algoritmo de classificação específico (ML tradicional, CNN ou Transformer) torna-se menos crítico, implicando que a própria representação do sinal é altamente discriminativa.

Os autores concluem que a sonificação de memória dinâmica é uma abordagem complementar promissora para técnicas tradicionais, oferecendo alta precisão sem a necessidade de desofuscação ou engenharia de características complexas. Um trabalho futuro é proposto para escalar para datasets maiores e investigar a robustez contra ofuscação avançada.