Detecção automatizada de malware usando artefatos em imagens de memória forense

O malware é uma das maiores e mais rapidamente crescentes ameaças ao mundo digital. A detecção tradicional baseada em assinaturas não é mais adequada para detectar novas variantes e malware altamente direcionado. Além disso, a detecção dinâmica é frequentemente contornada com técnicas anti-VM e/ou anti-debugger. Recentemente, abordagens heurísticas foram exploradas para aumentar a precisão da detecção enquanto se mantém a generalidade de um modelo para detectar amostras de malware desconhecidas. Neste artigo, investigamos três tipos de características extraídas de imagens de memória - atividade do registro, bibliotecas importadas e chamadas de funções da API. Após avaliar a importância das diferentes características, diferentes técnicas de aprendizado de máquina são implementadas para comparar o desempenho da detecção de malware usando os três tipos de características, respectivamente. A maior precisão alcançada foi de 96%, e foi obtida usando um modelo de máquina de vetor de suporte, ajustado a dados extraídos da atividade do registro.