Um aplicativo de backup para celular pede acesso ao armazenamento, contatos, SMS e registros de chamadas. Uma ferramenta de gerenciamento de dispositivos pede mais do que isso. Passar qualquer um desses apps por um scanner de malware baseado em aprendizado de máquina resultará em uma bandeira vermelha.
Seis detectores Android amplamente utilizados para pesquisa, incluindo Drebin, MalScan e MaskDroid, produziram esse resultado em mais da metade dos aplicativos em um conjunto de teste benigno composto por 49 categorias do Google Play. O pior desempenho foi registrado pelo detector LAMD baseado em LLM, que sinalizou 80% desses apps. Qualquer pessoa que controle uma loja de aplicativos, uma implantação empresarial ou um pipeline de construção com base nessas avaliações está lidando principalmente com software legítimo.
Pesquisadores da Singapore Management University e Nankai University construíram esse conjunto de testes ao puxar aplicativos benignos do AndroZoo, classificá-los por permissões declaradas como perigosas e manter os 270 superiores. Cada app nesse conjunto declara pelo menos nove permissões. Seu detector, PRAXIS, sinalizou apenas 13%.
Os detectores correspondem a padrões de malware antigo
Drebin codifica características do manifesto e do código em um vetor e treina uma máquina de vetores de suporte nesse conjunto. MalScan, MsDroid e MaskDroid trabalham sobre gráficos de chamada e subgrafos de API sensíveis. Cada um aprende uma distribuição a partir de malware passado e pontua novos apps pela adequação.
A amplitude das permissões está correlacionada com o malware, mas também está correlacionada com ferramentas de backup, antivírus, controles parentais e qualquer coisa que gerencie um dispositivo. Essa correlação leva à decisão final, e software legítimo com uma grande superfície de permissão acaba do lado errado.
Os pesquisadores reduzem a falha a quatro palavras: “desvio não é maliciosidade”.
A mesma operação muda dependendo de quem a desencadeou e o que o app anuncia. Um aplicativo de mensagens lê SMS recebidos. Um aplicativo de backup em nuvem faz upload de arquivos no plano de fundo sem a supervisão do usuário. Ambos são normais. Um aplicativo bancário que silenciosamente lê SMS e posta o conteúdo para um servidor remoto está executando uma tentativa de interceptação OTP, e as chamadas da API envolvidas parecem iguais em todos os três casos.
Fazer o código provar a suposição
PRAXIS executa três etapas. Ele puxa permissões e componentes do manifesto, chamadas de API sensíveis e intenções implícitas do bytecode através de Soot, e nomes de funções de bibliotecas nativas através de Ghidra, então passa a pilha para um LLM e pede por intenções de ataque que um atacante poderia perseguir com eles.
Visão geral do PRAXIS (Fonte: Artigo de pesquisa)
Cada intenção retorna como uma suposição sem referência ao código. A segunda etapa a transforma em um ponto de entrada, uma fonte e um efeito, recupera funções candidatas para cada papel e mantém apenas os trios que chegam uns aos outros nessa ordem através de bordas de chamada, transições intercomponentes ou um campo compartilhado. Uma hipótese sem cadeia alcançável é descartada.
A terceira etapa julga o que sobreviveu. Um comportamento alcançado apenas por meio de uma transmissão de background roda sem a percepção do usuário. Um comportamento desencadeado de uma tela é verificado contra o que essa tela diz fazer.
No caso de um trojan bancário imitando o Bank Mellat, essa cadeia corre de um receptor exportado SMS_RECEIVED através da análise PDU para um HttpURLConnection write, com um formulário de login Flutter em cima e sem uma back-end bancária abaixo.
Uma etapa carrega a detecção
Execute todas as três etapas e o PRAXIS falha em detectar cerca de um malware em cada nove amostras. Retire a etapa de contexto e ele falha em 95,3%.
Os comportamentos ainda estão lá. A evidência do código ainda está lá. Passado o mesmo material com uma solicitação de julgamento simples, o modelo passa quase tudo sem problemas. O prompt final carrega a maior parte da capacidade de detecção. Tudo que vem antes alimenta isso.
O que ainda está aberto
Somar cada função específica do app custa cerca de $0,56 por aplicativo antes que o modelo de detecção gaste qualquer coisa. Esse preço serve a um analista trabalhando em uma amostra. Não serve para uma loja verificando submissões.
A fase de julgamento lê texto da interface do usuário, rótulos de aplicativos, nomes de pacotes e identificadores descompilados. Um atacante controla todas as quatro. Uma tela de login que explica plausivelmente uma permissão SMS ataca diretamente o raciocínio contextual, e nenhuma avaliação aqui aborda um adversário que escreve um.
Em seguida, há os dados de treinamento. As linhas de base de aprendizado foram reajustadas em aplicativos de 2021 a 2023 e testados contra amostras até 2026. O PRAXIS é executado no DeepSeek-V4-Pro, GPT-5.2 e GPT-5.4-mini, modelos cujos conjuntos de treinamento provavelmente incluem tanto as amostras quanto os relatórios publicados da Kaspersky e ESET que os autores usaram para construir sua verdadeira.
Trinta por cento dos aplicativos benéficos em cada cem ainda retornam como maliciosos. Isso é uma fila de revisão com um humano nela, e uma porta da loja baseada no mesmo número tira software funcionando do estoque.
