Un approccio basato sul deep learning per il rilevamento di malware IoT nelle stazioni di ricarica dei veicoli elettrici

Perché conta la sicurezza del tuo caricatore per auto

I veicoli elettrici sempre più spesso si collegano a stazioni di ricarica intelligenti piene di piccoli dispositivi connessi a Internet. Questi dispositivi rendono la ricarica più rapida ed efficiente, ma aprono anche nuove vie agli aggressori. Un malware che si insinua in un singolo sensore o controller può propagarsi, minacciando le reti elettriche, i dati personali e la disponibilità del servizio di ricarica. Questo articolo presenta un nuovo metodo per individuare questo tipo di software malevolo prima che raggiunga i dispositivi all’interno di una stazione di ricarica per veicoli elettrici (EV).

Rischi nascosti nei caricabatterie intelligenti

Le moderne stazioni di ricarica per EV si basano su un ecosistema di dispositivi Internet of Things (IoT)—contatori intelligenti, sensori di temperatura, relè e controller—that comunicano costantemente con il cloud e tra loro. Se gli aggressori impiantano malware in uno di questi componenti, possono intercettare o alterare dati, rubare informazioni di pagamento o persino manipolare i carichi di ricarica per destabilizzare la rete locale. Incidenti reali nel settore energetico dimostrano che dispositivi industriali compromessi possono disconnettere turbine o mettere a rischio impianti nucleari. Con l’espansione delle reti di ricarica, individuare malware nel software che gira su questi dispositivi eterogenei è diventata una linea di difesa critica.

Perché le difese attuali non bastano

Molti rilevatori di malware IoT esistenti considerano un solo tipo di processore, come ARM o MIPS, pur sapendo che le reti di ricarica reali usano un mix di hardware. Altri metodi si affidano a una fetta ristretta di informazioni, ad esempio una rapida istantanea visiva di un programma o un semplice conteggio di istruzioni. Alcuni sistemi cercano di combinare diversi indizi ma lo fanno in modo grezzo—unendo le feature senza comprendere le loro relazioni o quali siano più rilevanti per un campione specifico. Di conseguenza possono sfuggire pattern d’attacco sottili o fallire di fronte a nuovi tipi di dispositivi o famiglie di malware.

Osservare il malware da tre prospettive

Gli autori propongono un approccio di rilevamento statico, ossia che analizza i file software prima che vengano installati sui dispositivi. Innanzitutto, il codice compilato per diversi tipi di processore viene passato attraverso uno strumento sviluppato dal governo chiamato Ghidra, che traduce tutto in un linguaggio "intermedio" condiviso. Questo passaggio elimina le peculiarità hardware pur preservando la logica del programma, permettendo alla stessa pipeline di analisi di trattare file provenienti da ARM, x86, MIPS e altre architetture. Da ogni file il sistema estrae poi tre viste complementari: una vista di forma globale, una vista statistica e una vista comportamentale.

Nella vista di forma globale, il file binario grezzo è trattato come un lungo flusso di numeri e convertito in un’immagine in scala di grigi, dove ogni pixel rappresenta un frammento di codice. Una rete neurale convoluzionale analizza questa immagine alla ricerca di texture e layout ricorrenti che differiscono tra software benigno e famiglie di malware. Nella vista statistica, le istruzioni tradotte sono spezzate in brevi sequenze di cui si misura la frequenza usando un metodo preso in prestito dalla ricerca testuale. Una rete neurale semplice esamina questi pattern di frequenza per catturare quali frammenti di istruzioni sono insolitamente comuni nei programmi malevoli. Nella vista comportamentale, i pattern ripetuti o poco informativi vengono eliminati, e una rete ricorrente (LSTM) legge la sequenza di istruzioni rimanente come una frase, imparando come le operazioni si susseguono nel tempo e rivelando logiche malevole più profonde.

Fondere gli indizi con attenzione mirata

Piuttosto che limitarsi ad affiancare questi tre insiemi di feature, gli autori progettano un modello di fusione che li pondera e li affina attivamente. Un meccanismo di multi‑head attention, ispirato ai recenti progressi nei modelli linguistici, impara quale flusso di feature porta l’evidenza più significativa per ciascun campione software, regolando la loro influenza dinamicamente. Un livello di convoluzione unidimensionale poi cerca nella rappresentazione fusa pattern brevi ma importanti, mentre un encoder multilivello miscela e rimodella ripetutamente l’informazione per far emergere relazioni sottili tra indizi strutturali, statistici e comportamentali. L’output finale è un singolo punteggio che indica se il software è probabile che sia benigno o malevolo, e a quale famiglia di malware potrebbe appartenere.

Quanto è efficace il nuovo metodo

Per testare il sistema, i ricercatori assemblano un ampio dataset pubblico di programmi IoT estratti da due repository di malware ampiamente usati, coprendo cinque principali tipi di processore comuni nell’infrastruttura EV. Confrontano molte configurazioni e combinazioni di feature, mostrando che ciascuna delle tre viste apporta un valore unico—escluderne una peggiora sensibilmente le prestazioni. Il loro modello completo a tre viste con fusione basata sull’attention supera diverse tecniche all’avanguardia, incluse quelle basate solo su immagini e quelle basate su grafi. Su tutte le architetture, il nuovo metodo migliora una misura chiave di accuratezza bilanciata (l’F1 score) di circa 1,37 punti percentuali e riduce il tasso di software benigno classificato erroneamente come malware.

Cosa significa per la ricarica di tutti i giorni

Per gli automobilisti, lo studio indica un futuro in cui il software che opera dietro le quinte nelle stazioni di ricarica sarà sottoposto a controlli molto più rigorosi. Esaminando il codice da più angolazioni e su diverse piattaforme hardware, il sistema proposto può intercettare una gamma più ampia di minacce prima che raggiungano i dispositivi IoT connessi alla rete. Sebbene il metodo attuale si concentri su file statici e possa avere difficoltà con malware fortemente offuscati o cifrati, offre già a operatori di utility e reti di ricarica uno strumento centralizzato potente per mantenere l’aspetto digitale della ricarica EV affidabile quanto cavi e trasformatori che vediamo in strada.

Citazione: Xia, L., Chen, Y. & Han, L. A deep learning-based IoT malware detection approach for electric vehicle charging stations. Sci Rep 16, 10607 (2026). https://doi.org/10.1038/s41598-026-45220-x

Parole chiave: malware IoT, ricarica veicoli elettrici, cybersicurezza, deep learning detection</keyword:rilevamento basato su deep learning> <keyword>sicurezza smart grid