VMDragonSlayer

परियोजना अक्टूबर के मध्य तक सार्वजनिक होगी, पुनर्गठन प्रगति पर है

उन्नत वर्चुअल मशीन पहचान और विश्लेषण ढांचा

VMDragonSlayer एक व्यापक ढांचा है जो वर्चुअल मशीन (VM) आधारित सुरक्षा उपकरणों जैसे VMProtect 2.x/3.x, Themida, और कस्टम मैलवेयर VM द्वारा संरक्षित बाइनरी के विश्लेषण के लिए है। यह ढांचा रिवर्स इंजीनियरिंग प्रक्रिया को स्वचालित करने के लिए कई विश्लेषण इंजनों को जोड़ता है, जिनमें डायनामिक टेंट ट्रैकिंग (DTT), सिम्बोलिक एक्ज़ीक्यूशन (SE), पैटर्न क्लासिफिकेशन और मशीन लर्निंग शामिल हैं।

लक्ष्य: जटिल संरक्षित बाइनरी विश्लेषण को हफ्तों/महीनों के मैन्युअल कार्य से संरचित, स्वचालित विश्लेषण में बदलना, जिसमें समझाने योग्य परिणाम हों।

मुख्य विशेषताएं

• मल्टी-इंजन विश्लेषण: स्थैतिक, गतिशील और हाइब्रिड विश्लेषण तकनीकों को जोड़ता है
• VM पहचान: वाणिज्यिक और कस्टम VM संरक्षकों की स्वचालित पहचान
• प्लगइन इकोसिस्टम: Ghidra, IDA Pro और Binary Ninja के साथ एकीकरण
• मशीन लर्निंग: पैटर्न वर्गीकरण के लिए अवधारणा-प्रमाण ML मॉडल
• विस्तार योग्य आर्किटेक्चर: कस्टम विश्लेषण कार्यप्रवाह के लिए मॉड्यूलर डिज़ाइन
• अनुसंधान ढांचा: मैलवेयर अनुसंधान और रिवर्स इंजीनियरिंग शिक्षा के लिए निर्मित

मुख्य क्षमताएं

आर्किटेक्चर अवलोकन

VMDragonSlayer एक मॉड्यूलर आर्किटेक्चर का उपयोग करता है जिसमें कई विश्लेषण इंजन एक साथ काम करते हैं:

graph TD
    A[VM Discovery Engine] --> B[Pattern/ML Classifier]
    B --> C[Symbolic Execution Engine]
    B --> D[Dynamic Taint Tracker]
    D --> C
    
    subgraph DataSources ["Data Sources"]
        E[Pattern Database]
        F[ML Models - PoC]
    end
    
    subgraph Coordination
        G[Orchestrator - Workflow Management & Coordination]
    end
    
    E --> B
    F --> B
    A --> G
    B --> G
    C --> G
    D --> G
    E --> G
    F --> G
    G --> H[REST API Server]
    G --> I[Plugins - RE Tools]

मुख्य विश्लेषण इंजन

1. VM खोज इंजन (dragonslayer.analysis.vm_discovery)

• उद्देश्य: VM-आधारित सुरक्षा योजनाओं का पता लगाना और वर्गीकृत करना
• तकनीकें: डिस्पैचर लूप पहचान, हैंडलर तालिका विश्लेषण, नियंत्रण प्रवाह ह्युरिस्टिक्स
• लक्ष्य: VMProtect, Themida, कस्टम मैलवेयर VM, नेस्टेड सुरक्षा

2. डायनामिक टेंट ट्रैकिंग (dragonslayer.analysis.taint_tracking)

• उद्देश्य: महत्वपूर्ण पथों की पहचान करने के लिए VM निष्पादन के माध्यम से डेटा प्रवाह को ट्रैक करना
• कार्यान्वयन: बाइट-स्तरीय सटीकता के साथ Intel Pin-आधारित इंस्ट्रुमेंटेशन
• विशेषताएं: शैडो मेमोरी, एंटी-एनालिसिस चोरी, स्वचालित हैंडलर खोज

3. पैटर्न विश्लेषण (dragonslayer.analysis.pattern_analysis)

• उद्देश्य: VM पैटर्न और व्यवहारों को वर्गीकृत और श्रेणीबद्ध करना
• विधियां: नियम-आधारित मिलान, समानता विश्लेषण, ML वर्गीकरण
• डेटाबेस: JSON स्कीमा के साथ विस्तार योग्य पैटर्न डेटाबेस

4. सिम्बोलिक एक्ज़ीक्यूशन (dragonslayer.analysis.symbolic_execution)

• उद्देश्य: प्रतीकात्मक रूप से VM निष्पादन पथों का अन्वेषण करना
• विशेषताएं: बाधा समाधान, पथ प्राथमिकता, स्थिति विलय
• एकीकरण: अन्वेषण को बीजने के लिए टेंट विश्लेषण परिणामों का उपयोग करता है

5. मशीन लर्निंग पाइपलाइन (dragonslayer.ml)

• उद्देश्य: स्वचालित वर्गीकरण और विश्लेषण सहायता
• मॉडल: अनुसंधान और शिक्षा के लिए बुनियादी अवधारणा-प्रमाण मॉडल
• घटक: फीचर निष्कर्षण, मॉडल प्रशिक्षण, एन्सेम्बल भविष्यवाणी

रिपॉजिटरी संरचना

VMDragonSlayer/
├── dragonslayer/                    # Main Python package
│   ├── analysis/                   # Analysis engines
│   │   ├── vm_discovery/          # VM detection and classification
│   │   ├── pattern_analysis/      # Pattern matching and ML classification
│   │   ├── symbolic_execution/    # Symbolic execution engine
│   │   ├── taint_tracking/        # Dynamic taint analysis
│   │   └── anti_evasion/          # Anti-analysis countermeasures
│   ├── api/                       # REST API server and client
│   ├── core/                      # Core framework components
│   ├── ml/                        # Machine learning pipeline
│   ├── analytics/                 # Analysis reporting and metrics
│   ├── gpu/                       # GPU acceleration support
│   ├── utils/                     # Utility functions
├── data/                          # Configuration and data files
│   ├── patterns/                  # Pattern database
│   ├── models/                    # ML models and metadata
│   │   ├── pretrained/           # Pre-trained models (PoC)
│   │   └── metadata/             # Model metadata and schemas
│   ├── samples/                   # Sample files and registries
│   ├── schemas/                   # JSON schemas for validation
│   └── training/                  # Training configurations
├── plugins/                       # Reverse engineering tool plugins
│   ├── ghidra/                   # Ghidra plugin (Java/Gradle)
│   ├── idapro/                   # IDA Pro plugin (Python)
│   └── binaryninja/              # Binary Ninja plugin (Python)
├── tests/                         # Tests suite
├── documentation/                 # Documentation
└── LICENSE                        # GPL v3 License

प्लगइन इकोसिस्टम

VMDragonSlayer प्रमुख रिवर्स इंजीनियरिंग उपकरणों के साथ एकीकृत होता है:

Ghidra प्लगइन

• भाषा: Java (Gradle बिल्ड सिस्टम)
• विशेषताएं: VM विश्लेषण UI, पैटर्न विज़ुअलाइज़ेशन, स्वचालित विश्लेषण कार्यप्रवाह
• स्थिति: ढांचा लागू, UI घटक विकास में

IDA Pro प्लगइन

• भाषा: Python
• विशेषताएं: IDA के विश्लेषण इंजन के साथ सहज एकीकरण
• स्थिति: मुख्य कार्यक्षमता उपलब्ध

Binary Ninja प्लगइन

• भाषा: Python
• विशेषताएं: देशी Binary Ninja API एकीकरण
• स्थिति: बुनियादी एकीकरण लागू

मशीन लर्निंग घटक

नोट: शामिल ML मॉडल बुनियादी अवधारणा-प्रमाण कार्यान्वयन हैं जो अनुसंधान और शैक्षिक उद्देश्यों के लिए डिज़ाइन किए गए हैं।

स्थापना

आवश्यक शर्तें

• Python 3.8 या उच्चतर
• एक या अधिक रिवर्स इंजीनियरिंग उपकरण:
  • Ghidra 10.0+ (Ghidra प्लगइन के लिए)
  • IDA Pro 7.0+ (IDA प्लगइन के लिए)
  • Binary Ninja (Binary Ninja प्लगइन के लिए)

हार्डवेयर आवश्यकताएं

न्यूनतम आवश्यकताएं

• CPU: आधुनिक x64 प्रोसेसर
• RAM: न्यूनतम 8GB, अनुशंसित 16GB
• स्टोरेज: 5GB खाली स्थान
• OS: Windows 10/11, Linux (Ubuntu 20.04+), macOS 11+

GPU आवश्यकताएं (वैकल्पिक लेकिन अनुशंसित)

• NVIDIA GPU: इष्टतम प्रदर्शन के लिए GTX 1060 या नया
• CUDA: संस्करण 11.8 या 12.1+ (PyTorch के साथ स्वचालित रूप से स्थापित)
• VRAM: ML मॉडल के लिए न्यूनतम 4GB

महत्वपूर्ण सीमाएं

• वर्चुअल मशीनें: GPU-त्वरित सुविधाओं के लिए सीधे हार्डवेयर एक्सेस की आवश्यकता होती है और VMs में काम नहीं कर सकती हैं
• WSL: कुछ GPU सुविधाओं की WSL वातावरण में सीमित कार्यक्षमता हो सकती है
• रिमोट सर्वर: हेडलेस GPU एक्सेस के लिए सुनिश्चित करें कि CUDA ड्राइवर ठीक से स्थापित हैं

वर्तमान स्थिति (निश्चित मुद्दे)

सत्यापित कार्यशील उदाहरण

# This now works perfectly:
from dragonslayer.core.orchestrator import Orchestrator, AnalysisType

orchestrator = Orchestrator()
result = orchestrator.analyze_binary("your_binary.exe", analysis_type=AnalysisType.VM_DISCOVERY)

# Results are properly structured:
vmd = result.get("vm_discovery", {})
print(f"VM detected: {vmd.get('vm_detected', False)}")
print(f"Handlers found: {len(vmd.get('handlers_found', []))}")

त्वरित आरंभ

# 1. Install with all dependencies
pip install -r requirements.txt
pip install -e .

मुख्य ढांचा

# Clone repository
git clone https://github.com/poppopjmp/VMDragonSlayer.git
cd VMDragonSlayer

# UPDATED INSTALLATION
# Install all required dependencies including z3-solver
pip install -r requirements.txt

# Install framework in development mode
pip install -e .

विभिन्न हार्डवेयर के लिए स्थापना

# CPU-only installation (basic functionality)
pip install -r requirements.txt
pip install -e .

# NVIDIA GPU with CUDA 12.x (RTX 30xx/40xx series) 
pip install -r requirements.txt
pip install torch torchvision torchaudio --index-url https://download.pytorch.org/whl/cu121
pip install -e .

# NVIDIA GPU with CUDA 11.8 (older GPUs)
pip install -r requirements.txt  
pip install torch torchvision torchaudio --index-url https://download.pytorch.org/whl/cu118
pip install -e .

Create virtual environment

python -m venv venv source venv/bin/activate # Linux/macOS

or

venv\Scripts\activate # Windows

Install dependencies

pip install -r requirements.txt

Install framework

cd dragonslayer pip install -e .

प्लगइन स्थापना

अपना पसंदीदा डिसअसेंबलर चुनें:

Ghidra प्लगइन

cd plugins/ghidra
./build.bat  # Windows
# or
./build.sh   # Linux/macOS

# Install to Ghidra
cp dist/VMDragonSlayer.zip $GHIDRA_INSTALL_DIR/Extensions/

त्वरित आरंभ

1. बुनियादी ढांचा उपयोग

from dragonslayer.core.orchestrator import Orchestrator, AnalysisType

# Initialize orchestrator (loads default configuration automatically)
orchestrator = Orchestrator()

# Analyze a binary
result = orchestrator.analyze_binary("path/to/protected_binary.exe", analysis_type=AnalysisType.VM_DISCOVERY)

# Extract VM discovery results
vmd = result.get("vm_discovery", {})
print(f"VM Protection Detected: {vmd.get('vm_detected', False)}")
print(f"Handler Count: {len(vmd.get('handlers_found', []))}")
print(f"Analysis Success: {result.get('success', False)}")

प्लगइन स्थिति

रिवर्स इंजीनियरिंग टूल एकीकरण

आर्किटेक्चर

VMDragonSlayer एक मॉड्यूलर आर्किटेक्चर का उपयोग करता है जिसमें कई विश्लेषण इंजन हैं:

विश्लेषण इंजन

VM खोज इंजन

• डिस्पैचर पहचान: नियंत्रण प्रवाह विश्लेषण का उपयोग करके VM डिस्पैचर लूप की पहचान करता है
• हैंडलर मैपिंग: VM हैंडलर और उनके संबंधों का मानचित्रण करता है
• आर्किटेक्चर पहचान: VMProtect, Themida और कस्टम VM आर्किटेक्चर का पता लगाता है

टेंट ट्रैकिंग इंजन

• गतिशील विश्लेषण: VM हैंडलर के माध्यम से डेटा प्रवाह को ट्रैक करता है
• सटीकता नियंत्रण: बाइट-स्तरीय या निर्देश-स्तरीय ग्रैन्युलैरिटी
• एंटी-एवेज़न: सामान्य विश्लेषण पहचान तकनीकों को दरकिनार करता है

पैटर्न विश्लेषण इंजन

• हस्ताक्षर मिलान: नियम-आधारित पैटर्न पहचान
• ML वर्गीकरण: मशीन लर्निंग-आधारित हैंडलर वर्गीकरण
• समानता विश्लेषण: वेरिएंट पहचान के लिए फ़ज़ी मिलान

सिम्बोलिक एक्ज़ीक्यूशन इंजन

• पथ अन्वेषण: निष्पादन पथों का व्यवस्थित अन्वेषण
• बाधा समाधान: Z3-आधारित बाधा समाधान
• VM-जागरूक विश्लेषण: वर्चुअलाइज्ड कोड के लिए विशेष हैंडलिंग

मशीन लर्निंग मॉडल

ढांचे में कई अवधारणा-प्रमाण मॉडल शामिल हैं:

उपलब्ध मॉडल

• बाइटकोड क्लासिफायर: VM बाइटकोड अनुक्रमों में पैटर्न पहचान
• VM डिटेक्टर: VM सुरक्षा उपस्थिति के लिए बाइनरी वर्गीकरण
• हैंडलर क्लासिफायर: VM हैंडलर प्रकारों का वर्गीकरण
• VMProtect डिटेक्टर: VMProtect पैटर्न के लिए विशेष डिटेक्टर
• एन्सेम्बल मॉडल: बेहतर सटीकता के लिए कई क्लासिफायर को जोड़ता है

मॉडल विशेषताएं

• प्रारूप: Scikit-learn संगत (joblib सीरियलाइज़ेशन)
• आकार: त्वरित प्रोटोटाइपिंग के लिए उपयुक्त छोटे मॉडल
• उद्देश्य: शैक्षिक उदाहरण और अनुसंधान आधार रेखाएं
• प्रशिक्षण डेटा: कृत्रिम और सीमित वास्तविक दुनिया के नमूने

कॉन्फ़िगरेशन

पर्यावरण चर

# Core configuration
export VMDS_CONFIG_PATH="/path/to/config"
export VMDS_MODEL_PATH="/path/to/models"  
export VMDS_LOG_LEVEL="INFO"

# Database configuration
export VMDS_DB_URL="sqlite:///vmds.db"

# API configuration
export VMDS_API_HOST="localhost"
export VMDS_API_PORT="8000"

कॉन्फ़िगरेशन फ़ाइलें

• data/database_config.json: डेटाबेस सेटिंग्स
• data/taint_config.properties: टेंट विश्लेषण पैरामीटर
• data/models/model_registry_config.toml: ML मॉडल कॉन्फ़िगरेशन

उदाहरण

उन्नत कॉन्फ़िगरेशन

from dragonslayer.core.config import Config
from dragonslayer.analysis.vm_discovery import VMDiscoveryEngine
from dragonslayer.analysis.taint_tracking import TaintTracker

# Custom configuration
config = Config({
    'vm_discovery': {
        'min_handler_count': 10,
        'dispatcher_threshold': 0.8
    },
    'taint_tracking': {
        'precision': 'byte_level',
        'max_depth': 1000
    }
})

# Initialize specific engines
vm_engine = VMDiscoveryEngine(config)
taint_tracker = TaintTracker(config)

# Run targeted analysis
vm_result = vm_engine.analyze("binary.exe")
if vm_result.vm_detected:
    taint_result = taint_tracker.analyze(vm_result.handlers)

बैच विश्लेषण

from dragonslayer.workflows.manager import WorkflowManager

# Process multiple binaries
manager = WorkflowManager()
results = manager.process_batch([
    "sample1.exe",
    "sample2.exe", 
    "sample3.exe"
])

# Generate summary report
manager.generate_report(results, "analysis_report.json")

योगदान

हम योगदान का स्वागत करते हैं! कृपया देखें:

• CONTRIBUTING.md - विकास दिशानिर्देश
• CODE_OF_CONDUCT.md - सामुदायिक मानक
• SECURITY.md - सुरक्षा नीति

लाइसेंस

यह परियोजना GNU जनरल पब्लिक लाइसेंस v3.0 के अंतर्गत लाइसेंस प्राप्त है। विवरण के लिए LICENSE देखें।

उद्धरण

यदि आप अपने अनुसंधान में VMDragonSlayer का उपयोग करते हैं, तो कृपया उद्धृत करें:

@software{vmdragonslayer_2025,
  title   = {VMDragonSlayer: Automated VM-based Binary Protection Analysis},
  author  = {Panico, Agostino},
  year    = {2025},
  url     = {https://github.com/poppopjmp/VMDragonSlayer}
}

संपर्क

• लेखक: van1sh
• ईमेल: [email protected]
• GitHub: @poppopjmp

आभार

रिवर्स इंजीनियरिंग समुदाय और उन अंतर्निहित विश्लेषण उपकरणों और पुस्तकालयों के डेवलपर्स को विशेष धन्यवाद जो इस ढांचे को संभव बनाते हैं।