Uma abordagem de detecção de malware em IoT baseada em deep learning para estações de carregamento de veículos elétricos

Por que a segurança do seu carregador de carro importa

Veículos elétricos cada vez mais se conectam a estações de recarga inteligentes repletas de pequenos aparelhos ligados à internet. Esses dispositivos tornam o carregamento mais rápido e eficiente, mas também abrem novas portas para invasores. Malware que se infiltra em um único sensor ou controlador pode se propagar, ameaçando redes elétricas, dados pessoais e a disponibilidade do próprio carregamento. Este artigo apresenta uma nova forma de identificar esses softwares maliciosos ocultos antes que cheguem aos dispositivos dentro de uma estação de carregamento de veículos elétricos (VE).

Riscos ocultos dentro de carregadores inteligentes

Estações de carregamento modernas dependem de um ecossistema de dispositivos da Internet das Coisas (IoT) — medidores inteligentes, sensores de temperatura, relés e controladores — que se comunicam constantemente com a nuvem e entre si. Se atacantes instalarem malware em qualquer um desses componentes, podem interceptar ou alterar dados, roubar informações de pagamento ou até manipular cargas de recarga para desestabilizar a rede local. Incidentes reais no setor elétrico mostram que dispositivos industriais comprometidos podem desconectar turbinas ou colocar usinas nucleares em risco. À medida que as redes de carregamento se expandem, detectar malware no software que roda nesses diversos dispositivos tornou-se uma linha crítica de defesa.

Por que as defesas atuais são insuficientes

Muitos detectores de malware para IoT existentes analisam apenas um tipo de processador de dispositivo, como ARM ou MIPS, embora redes reais de carregamento usem uma mistura de hardwares. Outros métodos dependem de uma fatia estreita de informação, como um instantâneo visual rápido de um programa ou uma simples contagem de instruções. Alguns sistemas tentam combinar várias pistas, mas o fazem de maneira rudimentar — apenas colando características sem entender como elas se relacionam ou quais são mais relevantes para uma amostra específica. Como resultado, podem perder padrões de ataque sutis ou falhar diante de novos tipos de dispositivos ou famílias de malware.

Olhando para o malware por três ângulos

Os autores propõem uma abordagem de detecção estática, isto é, que inspeciona arquivos de software antes de serem instalados em qualquer dispositivo. Primeiro, eles enviam código compilado para diferentes tipos de processador a uma ferramenta desenvolvida pelo governo chamada Ghidra, que traduz tudo para uma linguagem “intermediária” comum. Essa etapa elimina as peculiaridades do hardware enquanto preserva a lógica do que o programa faz, permitindo que o mesmo fluxo de análise trate arquivos de ARM, x86, MIPS e outras arquiteturas. De cada arquivo, o sistema extrai então três visões complementares: uma visão de forma global, uma visão estatística e uma visão comportamental.

Na visão de forma global, o arquivo binário bruto é tratado como um longo fluxo de números e convertido em uma imagem em tons de cinza, onde cada pixel representa um fragmento de código. Uma rede neural convolucional varre essa imagem em busca de texturas e disposições recorrentes que diferem entre softwares benignos e famílias de malware. Na visão estatística, as instruções traduzidas são quebradas em pequenas sequências cujas frequências são mensuradas usando um método emprestado da recuperação de texto. Uma rede neural simples examina esses padrões de frequência para captar quais fragmentos de instrução são incomumente comuns em programas maliciosos. Na visão comportamental, padrões de instrução repetitivos ou pouco informativos são podados, e uma rede recorrente (LSTM) lê a sequência de instruções restante como uma frase, aprendendo como as operações se sucedem no tempo e revelando lógica maliciosa mais profunda.

Combinando pistas com atenção focada

Em vez de simplesmente empilhar esses três conjuntos de características lado a lado, os autores projetam um modelo de fusão que as pondera e refina ativamente. Um mecanismo de atenção multi‑cabeça, inspirado por avanços recentes em modelos de linguagem, aprende qual fluxo de características traz a evidência mais relevante para cada amostra de software, ajustando sua influência dinamicamente. Uma camada convolucional unidimensional então busca na representação fundida padrões curtos, porém importantes, enquanto um codificador em várias camadas mistura e remodela repetidamente a informação para expor relações sutis entre pistas estruturais, estatísticas e comportamentais. A saída final é uma única pontuação que indica se o software é provavelmente benigno ou malicioso, e a qual família de malware ele pertence.

Quão bem o novo método funciona

Para testar o sistema, os pesquisadores reuniram um grande conjunto público de dados de programas IoT extraídos de dois repositórios de malware amplamente usados, cobrindo cinco principais tipos de processadores comuns na infraestrutura de VE. Eles comparam muitas configurações e combinações de características, mostrando que cada uma das três visões acrescenta valor único — remover qualquer uma delas prejudica perceptivelmente o desempenho. Seu modelo completo de três visões com fusão baseada em atenção supera várias abordagens de ponta, incluindo sistemas apenas por imagem e baseados em grafos. Em todas as arquiteturas, o novo método melhora uma medida equilibrada-chave (a pontuação F1) em cerca de 1,37 ponto percentual e reduz a taxa de softwares benignos classificados erroneamente como maliciosos.

O que isso significa para o carregamento do dia a dia

Para os motoristas, o trabalho aponta para um futuro em que o software operando nos bastidores das estações de carregamento passe por uma triagem muito mais rigorosa. Ao examinar código por múltiplos ângulos e em diferentes plataformas de hardware, o sistema proposto pode capturar uma gama mais ampla de ameaças antes que elas atinjam dispositivos IoT conectados à rede. Embora o método atual se concentre em arquivos estáticos e possa ter dificuldades com malware fortemente ofuscado ou criptografado, ele já oferece a utilitários e operadores de redes de carregamento uma ferramenta centralizada poderosa para manter o lado digital do carregamento de VE tão confiável quanto os cabos e transformadores que vemos nas ruas.

Citação: Xia, L., Chen, Y. & Han, L. A deep learning-based IoT malware detection approach for electric vehicle charging stations. Sci Rep 16, 10607 (2026). https://doi.org/10.1038/s41598-026-45220-x

Palavras-chave: malware em IoT, carregamento de veículos elétricos, cibersegurança, detecção por deep learning, segurança da rede inteligente