¿Qué es Kong?

La mayoría de las tareas siguen una relación lineal: cuanto más difícil es la tarea, más tiempo suele llevar. La ingeniería inversa (y el análisis de binarios) es una tarea en la que la dificultad real es algo trivial, pero el tiempo de ejecución puede ser del orden de horas (¡y días!), incluso para un binario con un par de cientos de funciones.

Kong automatiza la capa mecánica, utilizando un marco de ingeniería inversa de nivel NSA. Kong puede tomar un binario completamente ofuscado y sin símbolos y ejecutar un pipeline de análisis completo: clasificar funciones, construir contexto de grafo de llamadas, recuperar tipos y símbolos mediante descompilación guiada por LLM, y escribir los resultados de vuelta en la base de datos del programa de Ghidra. El resultado es un binario donde alguna FUN_00401a30 ahora es parse_http_header, con estructuras, nombres de parámetros y convenciones de llamada recuperados.

Por qué existe

Los binarios sin símbolos pierden todo el contexto que hace legible el código: nombres de funciones, información de tipos, nombres de variables, diseños de estructuras. Recuperar ese contexto es la mayor parte del trabajo en la mayoría de las tareas de RE, y es en gran medida coincidencia de patrones: reconocer funciones de la biblioteca estándar, inferir tipos a partir del uso, propagar nombres a través de los grafos de llamadas.

Los LLM son buenos exactamente en este tipo de coincidencia de patrones. Pero apuntar un LLM a la salida cruda del descompilador y preguntar "¿qué hace esto?" da resultados mediocres. Al modelo le falta contexto de llamadas, información de referencias cruzadas y la imagen más amplia de cómo está estructurado el binario. Además, la mayoría de los binarios ofuscados introducen técnicas extremas para prevenir la ingeniería inversa.

Kong resuelve esto creando ventanas de contexto enriquecidas a partir del análisis del programa de Ghidra (grafos de llamadas, referencias cruzadas, referencias a cadenas, flujo de datos) antes de tocar siquiera el LLM, luego orquesta el análisis en orden de dependencia para que cada función se beneficie de que sus llamadas ya estén nombradas. Adicionalmente, Kong introduce su propio pipeline de desofuscación autónomo, el primero de su tipo.

En Acción

Características

• Pipeline Completamente Autónomo: Un solo comando ejecuta el análisis completo. Clasificación, análisis de funciones, limpieza, síntesis semántica y exportación. No se requiere intervención manual.
• Integración en Proceso con Ghidra: Ejecuta el motor de análisis de Ghidra en proceso mediante PyGhidra y JPype. Sin servidor, sin RPC, sin sobrecarga de subprocesos. Acceso directo a la base de datos del programa.
• Análisis Ordenado por Grafo de Llamadas: Las funciones se procesan de abajo hacia arriba desde el grafo de llamadas. Las funciones hoja se nombran primero, para que las llamadoras se beneficien del contexto ya resuelto en su descompilación.
• Ventanas de Contexto Enriquecidas: Cada prompt de LLM incluye la descompilación de la función objetivo más referencias cruzadas, referencias a cadenas, firmas de llamadoras/llamadas y datos vecinos; no solo la salida cruda del descompilador de forma aislada.
• Síntesis Semántica: Una pasada posterior al análisis que unifica las convenciones de nomenclatura en todo el binario, sintetiza definiciones de estructuras a partir de patrones de acceso a campos y resuelve inconsistencias entre funciones analizadas independientemente.
• Coincidencia de Firmas: Las funciones conocidas de la biblioteca estándar y criptográficas se identifican mediante patrones antes del análisis de LLM, omitiendo la inferencia costosa para funciones con identidades conocidas.
• Normalización Sintáctica: La salida del descompilador se limpia (recuperación de módulo, reconstrucción de literales negativos, eliminación de asignaciones muertas) antes de llegar al LLM, reduciendo ruido y desperdicio de tokens.
• Desofuscación Autónoma: Kong utiliza un pipeline de desofuscación autónomo que puede identificar y eliminar técnicas de ofuscación (aplanamiento de flujo de control, flujo de control falso, sustitución de instrucciones, cifrado de cadenas, protección de VM, etc.) de la salida del descompilador.
• Marco de Evaluación: Arnés de evaluación integrado que puntúa la salida del análisis contra el código fuente de verdad fundamental, midiendo la precisión de símbolos (Jaccard basado en palabras) y la precisión de tipos (puntuación de componentes de firma).
• Soporte Multi-Proveedor de LLM: Funciona con Anthropic (Claude) y OpenAI (GPT-4o) de fábrica. Un asistente de configuración interactivo configura los proveedores y el enrutamiento inteligente selecciona automáticamente el que tenga una clave válida.
• Seguimiento de Costos: Rastrea el uso de tokens y costos por modelo en todos los proveedores, con precios conscientes del proveedor.

Arquitecturas Soportadas

Kong funciona con la mayoría de los binarios descompilables por Ghidra (por ahora, más por venir).

Confianza

	C	C++	Go	Rust
x86	Alta	Alta	Media	Media
x86-64	Alta	Alta	Media	Media
ARM (32-bit)	Alta	Alta	Media	Baja
AArch64	Alta	Alta	Media	Baja
MIPS	Media	Media	Baja	Baja
PowerPC	Media	Media	Baja	Baja

Alta: Kong descompila, desofusca y recupera nombres, tipos y estructura de manera confiable.

Media: La descompilación es utilizable pero más ruidosa. Se espera recuperación parcial y puntuaciones de confianza más bajas.

Baja: La descompilación tiene lagunas significativas y los resultados permanecerán incompletos, ruidosos o ilegibles.

Nota: El tamaño del binario escala positivamente con el recuento de funciones, el costo de LLM y el tiempo de finalización. Sin embargo, el tamaño del binario también escala negativamente con la confianza, así que tenga esto en cuenta al analizar binarios más grandes.

Arquitectura

Kong utiliza un pipeline de cinco fases orquestado por un supervisor que coordina la clasificación, el análisis paralelo y el postprocesamiento: