VMDragonSlayer

Das Projekt wird Mitte Oktober veröffentlicht. Refactoring läuft.

Fortschrittliches Framework zur Erkennung und Analyse von Virtuellen Maschinen

VMDragonSlayer ist ein umfassendes Framework zur Analyse von Binärdateien, die durch VM-basierte Schutzhüllen wie VMProtect 2.x/3.x, Themida und benutzerdefinierte Malware-VMs geschützt sind. Das Framework kombiniert mehrere Analyse-Engines, darunter Dynamic Taint Tracking (DTT), Symbolic Execution (SE), Pattern Classification und Machine Learning, um den Reverse-Engineering-Prozess zu automatisieren.

Ziel: Die Analyse komplexer geschützter Binärdateien von Wochen/Monaten manueller Arbeit in eine strukturierte, automatisierte Analyse mit erklärbaren Ergebnissen umwandeln.

Hauptfunktionen

• Multi-Engine-Analyse: Kombiniert statische, dynamische und hybride Analysetechniken
• VM-Erkennung: Automatisierte Erkennung von kommerziellen und benutzerdefinierten VM-Schutzmechanismen
• Plugin-Ökosystem: Integrationen mit Ghidra, IDA Pro und Binary Ninja
• Machine Learning: Proof-of-Concept-ML-Modelle zur Musterklassifikation
• Erweiterbare Architektur: Modulares Design für benutzerdefinierte Analyse-Workflows
• Forschungs-Framework: Entwickelt für Malware-Forschung und Reverse-Engineering-Ausbildung

---

Kernfähigkeiten

Bereich	Engine / Modul	Highlights
VM-Erkennung	analysis.vm_discovery	Identifizierung von Dispatcher- und Handler-Tabellen, verschachtelte VM-Heuristiken
Musteranalyse	analysis.pattern_analysis	Regelbasiert + Ähnlichkeit + ML (hybride automatische Auswahl)
Taint-Tracking	analysis.taint_tracking	Intel Pin–gesteuertes Byte-Level-Taint, Handler-Erkennung, Fluss-Konfidenz
Symbolische Ausführung	analysis.symbolic_execution.executor	PathPrioritizer ML-gewichtete Exploration, Constraint- und Zustandsverfolgung
Hybrid-Orchestrierung	(Python-Kern)	Sequenzielle / parallele / adaptive Workflows (Ghidra-Bericht zeigt Implementierung an)
Synthetische Daten	data/training/synthetic_sample_generator.py	Obfuskations-Mutation, Multi-Architektur-Beispielgenerierung
Muster-DB	data/patterns/	JSON + erweiterte DB + SQLite-gestützte Laufzeitmuster
Ghidra-Plugin	plugins/ghidra/	UI-Integration in Arbeit (mehrere Vorlagen fehlen)
Schemata / Validierung	data/schemas/	JSON-Schema–validierte Analyseausgabe- und Musterformate

---

Architekturübersicht

VMDragonSlayer verwendet eine modulare Architektur, in der mehrere Analyse-Engines zusammenarbeiten:

graph TD
    A[VM Discovery Engine] --> B[Pattern/ML Classifier]
    B --> C[Symbolic Execution Engine]
    B --> D[Dynamic Taint Tracker]
    D --> C
    
    subgraph DataSources ["Data Sources"]
        E[Pattern Database]
        F[ML Models - PoC]
    end
    
    subgraph Coordination
        G[Orchestrator - Workflow Management & Coordination]
    end
    
    E --> B
    F --> B
    A --> G
    B --> G
    C --> G
    D --> G
    E --> G
    F --> G
    G --> H[REST API Server]
    G --> I[Plugins - RE Tools]

Kernanalyse-Engines

1. VM-Erkennungs-Engine (dragonslayer.analysis.vm_discovery)

• Zweck: Erkennung und Klassifizierung von VM-basierten Schutzschemen
• Techniken: Dispatcher-Loop-Erkennung, Handler-Tabellen-Analyse, Kontrollfluss-Heuristiken
• Ziele: VMProtect, Themida, benutzerdefinierte Malware-VMs, verschachtelter Schutz

2. Dynamisches Taint-Tracking (dragonslayer.analysis.taint_tracking)

• Zweck: Verfolgung des Datenflusses durch die VM-Ausführung, um kritische Pfade zu identifizieren
• Implementierung: Intel Pin-basierte Instrumentierung mit Byte-Level-Präzision
• Funktionen: Shadow Memory, Anti-Analyse-Umgehung, automatisierte Handler-Erkennung

3. Musteranalyse (dragonslayer.analysis.pattern_analysis)

• Zweck: Klassifizierung und Kategorisierung von VM-Mustern und -Verhalten
• Methoden: Regelbasiertes Matching, Ähnlichkeitsanalyse, ML-Klassifikation
• Datenbank: Erweiterbare Musterdatenbank mit JSON-Schemata

4. Symbolische Ausführung (dragonslayer.analysis.symbolic_execution)

• Zweck: Symbolische Exploration von VM-Ausführungspfaden
• Funktionen: Constraint-Lösung, Pfadpriorisierung, Zustandsverschmelzung
• Integration: Nutzt Taint-Analyse-Ergebnisse zur Initialisierung der Exploration

5. Machine-Learning-Pipeline (dragonslayer.ml)

• Zweck: Automatisierte Klassifikation und Analyseunterstützung
• Modelle: Grundlegende Proof-of-Concept-Modelle für Forschung und Bildung
• Komponenten: Merkmalsextraktion, Modelltraining, Ensemble-Vorhersage

Repository-Struktur

VMDragonSlayer/
├── dragonslayer/                    # Haupt-Python-Paket
│   ├── analysis/                   # Analyse-Engines
│   │   ├── vm_discovery/          # VM-Erkennung und -Klassifikation
│   │   ├── pattern_analysis/      # Musterabgleich und ML-Klassifikation
│   │   ├── symbolic_execution/    # Symbolische Ausführungs-Engine
│   │   ├── taint_tracking/        # Dynamische Taint-Analyse
│   │   └── anti_evasion/          # Anti-Analyse-Gegenmaßnahmen
│   ├── api/                       # REST-API-Server und -Client
│   ├── core/                      # Kernkomponenten des Frameworks
│   ├── ml/                        # Machine-Learning-Pipeline
│   ├── analytics/                 # Analyseberichte und Metriken
│   ├── gpu/                       # GPU-Beschleunigungsunterstützung
│   ├── utils/                     # Hilfsfunktionen
├── data/                          # Konfigurations- und Datendateien
│   ├── patterns/                  # Musterdatenbank
│   ├── models/                    # ML-Modelle und Metadaten
│   │   ├── pretrained/           # Vorgewichtete Modelle (PoC)
│   │   └── metadata/             # Modell-Metadaten und Schemata
│   ├── samples/                   # Beispieldateien und Register
│   ├── schemas/                   # JSON-Schemata zur Validierung
│   └── training/                  # Trainingskonfigurationen
├── plugins/                       # Reverse-Engineering-Tool-Plugins
│   ├── ghidra/                   # Ghidra-Plugin (Java/Gradle)
│   ├── idapro/                   # IDA-Pro-Plugin (Python)
│   └── binaryninja/              # Binary-Ninja-Plugin (Python)
├── tests/                         # Testsuite
├── documentation/                 # Dokumentation
└── LICENSE                        # GPL v3 Lizenz

Plugin-Ökosystem

VMDragonSlayer integriert sich mit den wichtigsten Reverse-Engineering-Tools:

Ghidra-Plugin

• Sprache: Java mit Gradle-Build-System
• Funktionen: VM-Analyse-UI, Muster-Visualisierung, automatisierte Analyse-Workflows
• Status: Framework implementiert, UI-Komponenten in Entwicklung

IDA-Pro-Plugin

• Sprache: Python
• Funktionen: Nahtlose Integration mit IDAs Analyse-Engine
• Status: Kernfunktionalität verfügbar

Binary-Ninja-Plugin

• Sprache: Python
• Funktionen: Native Binary-Ninja-API-Integration
• Status: Grundlegende Integration implementiert

Machine-Learning-Komponenten

Hinweis: Die enthaltenen ML-Modelle sind grundlegende Proof-of-Concept-Implementierungen, die für Forschungs- und Bildungszwecke konzipiert sind.

---

Installation

Voraussetzungen

• Python 3.8 oder höher
• Ein oder mehrere Reverse-Engineering-Tools:
  • Ghidra 10.0+ (für Ghidra-Plugin)
  • IDA Pro 7.0+ (für IDA-Plugin)
  • Binary Ninja (für Binary-Ninja-Plugin)

Hardware-Anforderungen

Mindestanforderungen

• CPU: Moderner x64-Prozessor
• RAM: mindestens 8 GB, empfohlen 16 GB
• Speicher: 5 GB freier Speicherplatz
• Betriebssystem: Windows 10/11, Linux (Ubuntu 20.04+), macOS 11+