A hybrid CNN-LSTM architecture for malware behavioral analysis via API call sequences

Abstract

A detecção e classificação de softwares maliciosos através da análise comportamental de chamadas de Interface de Programação de Aplicações (API) permanece um desafio proeminente na cibersegurança. No entanto, a complexidade estrutural das ameaças modernas e o imenso ruído semântico embutido em longas sequências de execução frequentemente dificultam a precisão dos modelos preditivos tradicionais. Redes neurais puramente recorrentes, como as arquiteturas base Long Short-Term Memory (LSTM), frequentemente sofrem com a saturação do gradiente contextual e severos erros de classificação cruzada ao processar essas sequências não filtradas, particularmente em conjuntos de dados que exibem assimetria estrutural inerente. Para solucionar esse déficit representacional, esta pesquisa propõe e avalia empiricamente uma arquitetura híbrida de aprendizado profundo (CNN-LSTM) para a categorização multiclasse de malwares. O modelo proposto integra Redes Neurais Convolucionais 1D (CNN) como uma fase preliminar de filtragem espacial para extrair assinaturas comportamentais localizadas (n-gramas), seguidas por um bloco LSTM Bidirecional (Bi-LSTM) para mapear a narrativa temporal da execução. Além disso, uma penalização algorítmica de pesos de classe é aplicada para otimizar o aprendizado em famílias sub-representadas e altamente complexas. A avaliação experimental, comparada a um modelo de referência LSTM de camada única rigorosamente replicado, demonstra a superioridade arquitetural da abordagem híbrida. A CNN-LSTM alcançou uma acurácia global de 67,1% — superando o teto de 61,0% da linha de base — enquanto reduziu drasticamente o tempo de treinamento computacional de 407 minutos para apenas 12,4 minutos. Ao isolar efetivamente o ruído semântico, a extração de características espaciais gerou melhorias relativas substanciais no F1-Score em famílias complexas, como Dropper (+31,9%) e Vírus (+21,9%). Estas descobertas empíricas validam de forma definitiva que a redução da dimensionalidade espacial prévia à inferência temporal previne a saturação da memória, estabelecendo a hibridização CNN-LSTM como um paradigma altamente viável, computacionalmente eficiente e robusto para a classificação de ameaças em cenários reais.