VMDragonSlayer

Le projet sera rendu public d'ici la mi-octobre — Refactorisation en cours

Framework avancé de détection et d'analyse de machines virtuelles

VMDragonSlayer est un framework complet pour l'analyse de binaires protégés par des protecteurs basés sur des machines virtuelles (VM) tels que VMProtect 2.x/3.x, Themida et des VM malveillantes personnalisées. Le framework combine plusieurs moteurs d'analyse incluant le suivi de taint dynamique (DTT), l'exécution symbolique (SE), la classification de motifs et l'apprentissage automatique pour automatiser le processus de rétro-ingénierie.

Objectif : Transformer l'analyse complexe de binaires protégés, qui prend des semaines ou des mois de travail manuel, en une analyse structurée et automatisée avec des résultats explicables.

Fonctionnalités principales

• Analyse multi-moteur : Combine des techniques d'analyse statique, dynamique et hybride
• Détection de VM : Détection automatisée des protecteurs de VM commerciaux et personnalisés
• Écosystème de plugins : Intégrations avec Ghidra, IDA Pro et Binary Ninja
• Apprentissage automatique : Modèles ML de preuve de concept pour la classification de motifs
• Architecture extensible : Conception modulaire pour des workflows d'analyse personnalisés
• Cadre de recherche : Conçu pour la recherche de malwares et l'éducation à la rétro-ingénierie

---

Capacités principales

Domaine	Moteur / Module	Points forts
Découverte de VM	analysis.vm_discovery	Identification de la table du répartiteur (dispatcher) et des handlers, heuristiques de VM imbriquées
Analyse de motifs	analysis.pattern_analysis	Basée sur des règles + similarité + ML (sélection automatique hybride)
Suivi de taint	analysis.taint_tracking	Taint au niveau octet piloté par Intel Pin, découverte de handlers, confiance de flux
Exécution symbolique	analysis.symbolic_execution.executor	Exploration pondérée par PathPrioritizer ML, suivi des contraintes et des états
Orchestration hybride	(noyau Python)	Workflows séquentiels / parallèles / adaptatifs (le rapport Ghidra indique qu'il est implémenté)
Données synthétiques	data/training/synthetic_sample_generator.py	Mutation d'obfuscation, génération d'échantillons multi-architecture
Base de motifs	data/patterns/	JSON + base améliorée + motifs runtime stockés dans SQLite
Plugin Ghidra	plugins/ghidra/	Intégration UI en cours (plusieurs modèles manquants)
Schémas / Validation	data/schemas/	Formats de sortie d'analyse et de motifs validés par schéma JSON

---

Aperçu de l'architecture

VMDragonSlayer utilise une architecture modulaire où plusieurs moteurs d'analyse travaillent ensemble :

graph TD
    A[VM Discovery Engine] --> B[Pattern/ML Classifier]
    B --> C[Symbolic Execution Engine]
    B --> D[Dynamic Taint Tracker]
    D --> C
    
    subgraph DataSources ["Data Sources"]
        E[Pattern Database]
        F[ML Models - PoC]
    end
    
    subgraph Coordination
        G[Orchestrator - Workflow Management & Coordination]
    end
    
    E --> B
    F --> B
    A --> G
    B --> G
    C --> G
    D --> G
    E --> G
    F --> G
    G --> H[REST API Server]
    G --> I[Plugins - RE Tools]

Moteurs d'analyse principaux

1. Moteur de découverte de VM (dragonslayer.analysis.vm_discovery)

• Objectif : Détecter et classifier les schémas de protection basés sur les VM
• Techniques : Détection de boucle de répartiteur (dispatcher), analyse de table de handlers, heuristiques de flux de contrôle
• Cibles : VMProtect, Themida, VM malveillantes personnalisées, protection imbriquée

2. Suivi de taint dynamique (dragonslayer.analysis.taint_tracking)

• Objectif : Suivre le flux de données à travers l'exécution de la VM pour identifier les chemins critiques
• Implémentation : Instrumentation basée sur Intel Pin avec une précision au niveau octet
• Fonctionnalités : Mémoire fantôme (shadow memory), contournement d'anti-analyse, découverte automatisée de handlers

3. Analyse de motifs (dragonslayer.analysis.pattern_analysis)

• Objectif : Classifier et catégoriser les motifs et comportements des VM
• Méthodes : Correspondance par règles, analyse de similarité, classification ML
• Base de données : Base de motifs extensible avec schémas JSON

4. Exécution symbolique (dragonslayer.analysis.symbolic_execution)

• Objectif : Explorer symboliquement les chemins d'exécution des VM
• Fonctionnalités : Résolution de contraintes, priorisation de chemins, fusion d'états
• Intégration : Utilise les résultats de l'analyse de taint pour amorcer l'exploration

5. Pipeline d'apprentissage automatique (dragonslayer.ml)

• Objectif : Classification automatisée et assistance à l'analyse
• Modèles : Modèles basiques de preuve de concept pour la recherche et l'éducation
• Composants : Extraction de caractéristiques, entraînement de modèles, prédiction d'ensemble

Structure du dépôt

VMDragonSlayer/
├── dragonslayer/                    # Package Python principal
│   ├── analysis/                   # Moteurs d'analyse
│   │   ├── vm_discovery/          # Détection et classification de VM
│   │   ├── pattern_analysis/      # Correspondance de motifs et classification ML
│   │   ├── symbolic_execution/    # Moteur d'exécution symbolique
│   │   ├── taint_tracking/        # Analyse de taint dynamique
│   │   └── anti_evasion/          # Contre-mesures anti-analyse
│   ├── api/                       # Serveur et client REST API
│   ├── core/                      # Composants principaux du framework
│   ├── ml/                        # Pipeline d'apprentissage automatique
│   ├── analytics/                 # Rapports d'analyse et métriques
│   ├── gpu/                       # Support d'accélération GPU
│   ├── utils/                     # Fonctions utilitaires
├── data/                          # Fichiers de configuration et de données
│   ├── patterns/                  # Base de motifs
│   ├── models/                    # Modèles ML et métadonnées
│   │   ├── pretrained/           # Modèles pré-entraînés (PoC)
│   │   └── metadata/             # Métadonnées et schémas des modèles
│   ├── samples/                   # Fichiers d'exemples et registres
│   ├── schemas/                   # Schémas JSON pour validation
│   └── training/                  # Configurations d'entraînement
├── plugins/                       # Plugins pour outils de rétro-ingénierie
│   ├── ghidra/                   # Plugin Ghidra (Java/Gradle)
│   ├── idapro/                   # Plugin IDA Pro (Python)
│   └── binaryninja/              # Plugin Binary Ninja (Python)
├── tests/                         # Suite de tests
├── documentation/                 # Documentation
└── LICENSE                        # Licence GPL v3

Écosystème de plugins

VMDragonSlayer s'intègre avec les principaux outils de rétro-ingénierie :

Plugin Ghidra

• Langage : Java avec système de build Gradle
• Fonctionnalités : Interface utilisateur d'analyse de VM, visualisation de motifs, workflows d'analyse automatisés
• Statut : Framework implémenté, composants UI en développement

Plugin IDA Pro

• Langage : Python
• Fonctionnalités : Intégration transparente avec le moteur d'analyse d'IDA
• Statut : Fonctionnalités de base disponibles

Plugin Binary Ninja

• Langage : Python
• Fonctionnalités : Intégration native avec l'API de Binary Ninja
• Statut : Intégration de base implémentée

Composants d'apprentissage automatique

Remarque : Les modèles ML inclus sont des implémentations basiques de preuve de concept conçues pour la recherche et l'éducation.

---

Installation