VMDragonSlayer

El proyecto será público a mediados de octubre (Refactorización en progreso)

Marco avanzado de detección y análisis de máquinas virtuales

VMDragonSlayer es un marco integral para analizar binarios protegidos por protectores basados en Máquinas Virtuales (VM) como VMProtect 2.x/3.x, Themida y VMs maliciosas personalizadas. El marco combina múltiples motores de análisis, incluyendo Seguimiento Dinámico de Manchas (DTT), Ejecución Simbólica (SE), Clasificación de Patrones y Aprendizaje Automático para automatizar el proceso de ingeniería inversa.

Objetivo: Transformar el análisis complejo de binarios protegidos de semanas/meses de trabajo manual en un análisis estructurado y automatizado con resultados explicables.

Características principales

• Análisis multi-motor: Combina técnicas de análisis estático, dinámico e híbrido
• Detección de VM: Detección automatizada de protectores de VM comerciales y personalizados
• Ecosistema de plugins: Integraciones con Ghidra, IDA Pro y Binary Ninja
• Aprendizaje Automático: Modelos de ML conceptuales para clasificación de patrones
• Arquitectura extensible: Diseño modular para flujos de trabajo de análisis personalizados
• Marco de investigación: Construido para la investigación de malware y la educación en ingeniería inversa

---

Capacidades principales

Dominio	Motor / Módulo	Destacados
Descubrimiento de VM	analysis.vm_discovery	Identificación del despachador y tabla de manejadores, heurísticas de VM anidadas
Análisis de Patrones	analysis.pattern_analysis	Basado en reglas + similitud + ML (selección automática híbrida)
Seguimiento de Manchas	analysis.taint_tracking	Seguimiento de manchas a nivel de byte impulsado por Intel Pin, descubrimiento de manejadores, confianza de flujo
Ejecución Simbólica	analysis.symbolic_execution.executor	Exploración ponderada por ML con PathPrioritizer, seguimiento de restricciones y estados
Orquestación Híbrida	(núcleo Python)	Flujos de trabajo secuenciales / paralelos / adaptativos (el informe de Ghidra indica implementado)
Datos Sintéticos	data/training/synthetic_sample_generator.py	Mutación de ofuscación, generación de muestras multiarquitectura
Base de Datos de Patrones	data/patterns/	JSON + BD mejorada + patrones runtime respaldados por SQLite
Plugin Ghidra	plugins/ghidra/	Integración de UI en progreso (faltan varias plantillas)
Esquemas / Validación	data/schemas/	Formatos de salida de análisis y patrones validados por esquemas JSON

---

Resumen de la Arquitectura

VMDragonSlayer utiliza una arquitectura modular donde múltiples motores de análisis trabajan juntos:

graph TD
    A[Motor de Descubrimiento de VM] --> B[Clasificador de Patrones/ML]
    B --> C[Motor de Ejecución Simbólica]
    B --> D[Seguimiento Dinámico de Manchas]
    D --> C
    
    subgraph FuentesDeDatos ["Fuentes de Datos"]
        E[Base de Datos de Patrones]
        F[Modelos ML - PoC]
    end
    
    subgraph Coordinación
        G[Orquestador - Gestión y Coordinación de Flujos de Trabajo]
    end
    
    E --> B
    F --> B
    A --> G
    B --> G
    C --> G
    D --> G
    E --> G
    F --> G
    G --> H[Servidor API REST]
    G --> I[Plugins - Herramientas RE]

Motores de Análisis Principales

1. Motor de Descubrimiento de VM (dragonslayer.analysis.vm_discovery)

• Propósito: Detectar y clasificar esquemas de protección basados en VM
• Técnicas: Detección de bucles de despachador, análisis de tabla de manejadores, heurísticas de flujo de control
• Objetivos: VMProtect, Themida, VMs maliciosas personalizadas, protección anidada

2. Seguimiento Dinámico de Manchas (dragonslayer.analysis.taint_tracking)

• Propósito: Rastrear el flujo de datos a través de la ejecución de la VM para identificar rutas críticas
• Implementación: Instrumentación basada en Intel Pin con precisión a nivel de byte
• Características: Memoria sombra, evasión de anti-análisis, descubrimiento automatizado de manejadores

3. Análisis de Patrones (dragonslayer.analysis.pattern_analysis)

• Propósito: Clasificar y categorizar patrones y comportamientos de VM
• Métodos: Coincidencia basada en reglas, análisis de similitud, clasificación ML
• Base de datos: Base de datos de patrones extensible con esquemas JSON

4. Ejecución Simbólica (dragonslayer.analysis.symbolic_execution)

• Propósito: Explorar rutas de ejecución de la VM simbólicamente
• Características: Resolución de restricciones, priorización de rutas, fusión de estados
• Integración: Utiliza resultados del análisis de manchas para sembrar la exploración

5. Pipeline de Aprendizaje Automático (dragonslayer.ml)

• Propósito: Clasificación automatizada y asistencia en el análisis
• Modelos: Modelos conceptuales básicos para investigación y educación
• Componentes: Extracción de características, entrenamiento de modelos, predicción de conjunto

Estructura del Repositorio

VMDragonSlayer/
├── dragonslayer/                    # Paquete principal Python
│   ├── analysis/                   # Motores de análisis
│   │   ├── vm_discovery/          # Detección y clasificación de VM
│   │   ├── pattern_analysis/      # Coincidencia de patrones y clasificación ML
│   │   ├── symbolic_execution/    # Motor de ejecución simbólica
│   │   ├── taint_tracking/        # Análisis dinámico de manchas
│   │   └── anti_evasion/          # Contramedidas de anti-análisis
│   ├── api/                       # Servidor y cliente API REST
│   ├── core/                      # Componentes principales del marco
│   ├── ml/                        # Pipeline de aprendizaje automático
│   ├── analytics/                 # Informes y métricas de análisis
│   ├── gpu/                       # Soporte de aceleración GPU
│   ├── utils/                     # Funciones de utilidad
├── data/                          # Archivos de configuración y datos
│   ├── patterns/                  # Base de datos de patrones
│   ├── models/                    # Modelos ML y metadatos
│   │   ├── pretrained/           # Modelos preentrenados (PoC)
│   │   └── metadata/             # Metadatos y esquemas de modelos
│   ├── samples/                   # Archivos de muestra y registros
│   ├── schemas/                   # Esquemas JSON para validación
│   └── training/                  # Configuraciones de entrenamiento
├── plugins/                       # Plugins de herramientas de ingeniería inversa
│   ├── ghidra/                   # Plugin Ghidra (Java/Gradle)
│   ├── idapro/                   # Plugin IDA Pro (Python)
│   └── binaryninja/              # Plugin Binary Ninja (Python)
├── tests/                         # Suite de pruebas
├── documentation/                 # Documentación
└── LICENSE                        # Licencia GPL v3

Ecosistema de Plugins

VMDragonSlayer se integra con las principales herramientas de ingeniería inversa:

Plugin Ghidra

• Lenguaje: Java con sistema de construcción Gradle
• Características: UI de análisis de VM, visualización de patrones, flujos de trabajo de análisis automatizados
• Estado: Marco implementado, componentes de UI en desarrollo

Plugin IDA Pro

• Lenguaje: Python
• Características: Integración perfecta con el motor de análisis de IDA
• Estado: Funcionalidad central disponible

Plugin Binary Ninja

• Lenguaje: Python
• Características: Integración nativa con la API de Binary Ninja
• Estado: Integración básica implementada

Componentes de Aprendizaje Automático

Nota: Los modelos ML incluidos son implementaciones conceptuales básicas diseñadas para fines de investigación y educativos.

---

Instalación