Um estudante brasileiro de apenas 12 anos está levando técnicas normalmente associadas a pesquisadores e profissionais especializados em segurança ofensiva para o campo da pesquisa acadêmica. Lucas Freitas Vieira, do Distrito Federal, desenvolveu um trabalho que utiliza engenharia reversa, análise estática e regras YARA para identificar estruturas relacionadas à técnica conhecida como Return-Oriented Programming (ROP) em arquivos de malware.
O projeto, intitulado Static Detection of ROP Gadget Chains in Malware via Entropy-Aware YARA Rules, está disponível como preprint no Zenodo. Isso significa que o estudo foi tornado público, mas ainda não passou por revisão por pares. Os próprios autores posicionam o trabalho como uma pesquisa em desenvolvimento, que deve receber críticas e aprimoramentos antes de buscar uma publicação acadêmica consolidada.
Além do aspecto técnico, a trajetória chama atenção pela idade do pesquisador. Lucas já possui experiência em programação e competições de cibersegurança e, em 2025, conquistou medalhas de ouro e bronze em uma Olimpíada Internacional de Cibersegurança realizada na China.
O problema que a pesquisa tenta resolver
O trabalho investiga uma dificuldade específica da análise de malware: descobrir quando determinadas sequências de instruções encontradas dentro de um executável podem estar relacionadas a técnicas de Return-Oriented Programming.
ROP é uma técnica que permite reutilizar pequenos trechos de código já existentes em um programa ou em bibliotecas carregadas na memória.
Esses pequenos blocos são conhecidos como gadgets.
Um invasor pode encadear vários deles para realizar determinadas operações sem depender de uma sequência tradicional de código malicioso.
A dificuldade está justamente em separar presença de capacidade e evidência de uso.
Ferramentas como ROPgadget e Ropper conseguem localizar gadgets dentro de executáveis, mas encontrá-los não significa automaticamente que o software esteja usando ROP. Programas legítimos também podem possuir grandes quantidades dessas sequências.
A pesquisa brasileira procura acrescentar mais contexto a essa análise.
YARA, entropia e engenharia reversa
O método desenvolvido combina diferentes técnicas em vez de depender apenas da identificação dos gadgets.
A análise procura estruturas mais relevantes para ROP, como stack pivots, sequências POP;RET utilizadas para carregar registradores e terminadores que podem participar do despacho de uma cadeia.
Esses sinais são combinados com entropia de Shannon, calculada por seção do executável PE, e posteriormente com uma etapa de verificação baseada em desassemblagem.
A entropia é uma métrica que, de maneira simplificada, ajuda a medir o grau de aleatoriedade dos dados.
Em segurança, níveis elevados podem ser um indício de que determinada região de um arquivo foi comprimida, criptografada ou ofuscada.
Isso é particularmente útil na análise de malware porque criminosos frequentemente utilizam packers e técnicas de ofuscação para dificultar a inspeção do código.
Entropia elevada, porém, não significa necessariamente malware — softwares legítimos também podem apresentar essa característica.
Pesquisa utiliza cinco etapas
A versão mais recente do trabalho divide a metodologia em cinco estágios principais:
- triagem do arquivo e análise de entropia;
- identificação de packers;
- desempacotamento ou localização do Original Entry Point (OEP);
- engenharia reversa utilizando Ghidra e verificação dos ponteiros;
- geração e validação das regras YARA.
Essa estrutura procura reduzir um dos principais problemas enfrentados por sistemas de detecção: os falsos positivos.
Um arquivo apresentar determinada característica suspeita não significa necessariamente que seja malicioso.
Verificação tenta descobrir se existe realmente uma cadeia ROP
Uma das partes mais interessantes do trabalho é denominada chain-pointer verification.
O mecanismo procura sequências de ponteiros nas seções de dados do executável que direcionem para regiões contendo código executável.
Os destinos encontrados são então desassemblados e classificados em categorias como PIVOT, POP, TERM ou OTHER.
O método também procura eliminar estruturas legítimas que poderiam ser confundidas com uma cadeia ROP, incluindo jump tables e vtables.
Essa diferenciação levou a uma conclusão importante no próprio estudo: uma regra YARA pode identificar características compatíveis com capacidade de ROP, mas isso não é suficiente para afirmar que existe uma cadeia ROP efetivamente montada no arquivo.
Uma confirmação mais forte exige análise estrutural adicional.
Testes chegaram a 180 avaliações
Nos experimentos internos, foram utilizadas 160 amostras, divididas em cinco grupos: 50 shellcode droppers, 50 amostras de AsyncRAT, 30 de njRAT, 10 implantes C2 personalizados e 20 trojans bancários.
Como duas regras foram aplicadas sobre as mesmas 20 amostras de trojans bancários, o estudo contabilizou 180 avaliações individuais.
Nos resultados apresentados, as regras atingiram TPR agregado de 93,9%, com 169 verdadeiros positivos nas 180 avaliações.
Já a taxa agregada de falsos positivos ficou em 0,026%, correspondendo a 13 ocorrências dentro de um conjunto de 50 mil arquivos PE considerados limpos.
O próprio estudo faz uma ressalva metodológica: as 180 avaliações não são completamente independentes devido à dupla avaliação dos trojans bancários.
Quando as cinco famílias recebem peso equivalente, o resultado calculado é de 93,8%.
Entropia aumentou detecção em alguns cenários
Os testes também buscaram medir se adicionar análise de entropia realmente contribuía para a identificação.
Nas três famílias que continham variantes empacotadas, as condições baseadas em entropia aumentaram a taxa de detecção, em média, em 16,2 pontos percentuais na comparação com regras baseadas somente em padrões.
O resultado é interessante porque mostra como combinar diferentes indicadores pode aumentar a capacidade de triagem.
Ainda assim, o próprio trabalho alerta que entropia isoladamente não deve ser tratada como evidência de atividade maliciosa.
Comparação com YARA-Forge
A pesquisa também comparou sua abordagem com o conjunto de regras YARA-Forge.
Dentro do corpus utilizado pelos pesquisadores, a metodologia proposta registrou TPR médio de 93,9%, enquanto o baseline alcançou 71,2% — diferença de 22,7 pontos percentuais.
Existe, porém, uma contrapartida importante.
O YARA-Forge apresentou uma taxa menor de falsos positivos: 0,003%, contra 0,026% da abordagem pesquisada.
Ou seja, os números não significam simplesmente que uma solução seja “melhor” que a outra. Existe uma relação entre sensibilidade de detecção e geração de alertas incorretos que precisa ser considerada.
Testes externos revelaram limitações
Uma segunda avaliação utilizou 56 arquivos de malware de 22 conjuntos de famílias, incluindo ameaças conhecidas como Zeus, SpyEye, Carberp, Dyre, Emotet, AgentTesla e Bumblebee.
Também foram avaliados stealers escritos em Rust e softwares legítimos selecionados especificamente para desafiar o método.
A regra estrutural genérica detectou 32 dos 56 binários externos, ou 57,1%, com pelo menos uma detecção em 18 dos 22 conjuntos avaliados.
Os testes incluíram RATs, trojans bancários, loaders, droppers, ransomware e stealers lançados entre 2007 e 2025.
Mas os experimentos também expuseram falsos positivos importantes.
Três dos quatro programas legítimos selecionados para cenários envolvendo compactação ou empacotamento acionaram pelo menos uma regra. Entre os exemplos aparecem PuTTY e o instalador do 7-Zip.
Esse resultado reforça a necessidade de interpretar as regras como indicadores para investigação, e não como prova automática de que um programa é malicioso.
Nenhuma cadeia ROP real foi confirmada nas amostras externas
Talvez um dos resultados mais relevantes da pesquisa seja justamente aquilo que não foi encontrado.
Na análise de 59 arquivos PE reais — 56 malwares e três executáveis legítimos — nenhuma cadeia ROP estaticamente montada foi confirmada pelo mecanismo de verificação de ponteiros.
Por outro lado, o verificador identificou corretamente um executável sintético construído com uma cadeia de cinco gadgets e rejeitou um controle negativo baseado em vtable.
A conclusão adotada pelo estudo foi, portanto, mais cautelosa.
Nas amostras analisadas, os sinais encontrados foram mais úteis para identificar capacidades, estruturas e características relacionadas a loaders do que para provar a existência de cadeias ROP prontas dentro dos arquivos.
Uma explicação possível é que malwares construam essas cadeias dinamicamente durante sua execução — ou simplesmente não utilizem ROP.
Trabalho também revisou 250 registros acadêmicos
A versão atualizada ampliou a revisão da literatura utilizando diretrizes de Kitchenham e o modelo PRISMA 2020.
Foram inicialmente identificados 250 registros. Após a remoção de duplicatas, permaneceram 177, e 33 estudos foram sintetizados diretamente na pesquisa, além de trabalhos fundamentais encontrados por meio das referências bibliográficas.
Essa revisão ajudou a delimitar a proposta.
Já existem pesquisas relacionadas à identificação de ROP durante execução, em tráfego de rede e em documentos contendo exploits.
O projeto de Lucas concentra-se em outro cenário: triagem estática de malware PE antes da execução, utilizando ferramentas presentes no ecossistema de análise de ameaças, como YARA.
Estudo reconhece as próprias limitações
Um aspecto positivo para um trabalho ainda em desenvolvimento é a explicitação de suas limitações.
As cinco famílias utilizadas nos testes internos possuem conjuntos relativamente pequenos, entre 10 e 50 amostras.
Além disso, as amostras foram selecionadas por conveniência, e o corpus de arquivos limpos não representa toda a diversidade de programas legítimos compactados existentes.
A cobertura também está concentrada nas arquiteturas x86 e x64. ARM64 e Thumb foram avaliados somente por meio de gadgets sintéticos.
A metodologia, portanto, não é apresentada como substituta de antivírus, EDR ou mecanismos de análise dinâmica.
A proposta é funcionar como uma camada complementar de análise pré-execução.
Código e artefatos foram disponibilizados
Outro ponto relevante para uma eventual validação independente é que os artefatos utilizados na pesquisa foram publicados.
Estão disponíveis as regras YARA, scripts de análise de entropia, verificador de ponteiros, anotações das análises feitas no Ghidra e informações destinadas à reprodução dos experimentos.
As amostras de malware, por razões de segurança e distribuição, não são fornecidas pelo projeto.
A disponibilização desses materiais é importante porque permite que outros pesquisadores testem a metodologia em conjuntos diferentes e tentem reproduzir — ou contestar — os resultados apresentados.
Lucas já conquistou medalhas internacionais
A pesquisa se soma a uma trajetória incomum para a idade.
Em dezembro de 2025, Lucas conquistou ouro por equipe e bronze individual em uma Olimpíada Internacional de Cibersegurança na China. Antes disso, havia obtido prata na Olimpíada Nacional Júnior de Cibersegurança de Singapura.
Em maio de 2026, durante uma reunião de comissão da Câmara dos Deputados, o próprio estudante se apresentou como um jovem de 12 anos apaixonado por cibersegurança e programação.
Sua experiência inclui ainda programação em Python e participação em desafios Capture The Flag (CTF), competições nas quais participantes precisam solucionar problemas relacionados a exploração de vulnerabilidades, criptografia, engenharia reversa, forense digital e outras disciplinas de segurança.
Formação de talentos pode ser estratégica para o Brasil
Mais do que a idade do pesquisador, o caso chama atenção para uma questão relevante para o setor brasileiro de tecnologia: como identificar e desenvolver talentos em cibersegurança desde cedo.
O déficit global de profissionais qualificados em segurança da informação transformou conhecimento em áreas como engenharia reversa, análise de malware e desenvolvimento seguro em um ativo estratégico.
Competências desse tipo são importantes não apenas para empresas privadas, mas também para instituições financeiras, telecomunicações, indústria, governo, defesa e proteção de infraestrutura crítica.
No caso da pesquisa de Lucas, ainda existe um caminho acadêmico pela frente.
Os resultados precisam ser reproduzidos por terceiros, testados contra conjuntos maiores e mais diversificados e submetidos à avaliação de especialistas. O próprio fato de o estudo deixar essas limitações explícitas é importante para evitar transformar resultados preliminares em conclusões definitivas.
A relevância do trabalho está justamente aí: aos 12 anos, um estudante brasileiro não está apenas aprendendo ferramentas de segurança, mas tentando formular, testar, documentar e disponibilizar publicamente uma hipótese técnica para um problema real de detecção de malware.
