VMDragonSlayer

Projeto será público até meados de outubro - Refatoração em andamento

Framework Avançado de Detecção e Análise de Máquinas Virtuais

VMDragonSlayer é um framework abrangente para análise de binários protegidos por protetores baseados em Máquina Virtual (VM) como VMProtect 2.x/3.x, Themida e VMs personalizadas de malware. O framework combina múltiplos motores de análise, incluindo Rastreamento Dinâmico de Taint (DTT), Execução Simbólica (SE), Classificação de Padrões e Aprendizado de Máquina para automatizar o processo de engenharia reversa.

Objetivo: Transformar a análise complexa de binários protegidos de semanas/meses de trabalho manual em uma análise estruturada e automatizada com resultados explicáveis.

Principais Funcionalidades

• Análise Multi-Motor: Combina técnicas de análise estática, dinâmica e híbrida
• Detecção de VM: Detecção automatizada de protetores de VM comerciais e personalizados
• Ecossistema de Plugins: Integrações com Ghidra, IDA Pro e Binary Ninja
• Aprendizado de Máquina: Modelos de ML de prova de conceito para classificação de padrões
• Arquitetura Extensível: Design modular para fluxos de análise personalizados
• Framework de Pesquisa: Construído para pesquisa de malware e educação em engenharia reversa

---

Capacidades Principais

Domínio	Motor / Módulo	Destaques
Descoberta de VM	analysis.vm_discovery	Identificação de tabela de despacho e manipuladores, heurísticas de VM aninhada
Análise de Padrões	analysis.pattern_analysis	Baseado em regras + similaridade + ML (seleção automática híbrida)
Rastreamento de Taint	analysis.taint_tracking	Taint em nível de byte orientado por Intel Pin, descoberta de manipuladores, confiança de fluxo
Execução Simbólica	analysis.symbolic_execution.executor	Exploração ponderada por ML com PathPrioritizer, rastreamento de restrições e estados
Orquestração Híbrida	(núcleo Python)	Fluxos de trabalho sequenciais / paralelos / adaptativos (relatório Ghidra indica implementado)
Dados Sintéticos	data/training/synthetic_sample_generator.py	Mutação de ofuscação, geração de amostras multi-arquitetura
Banco de Padrões	data/patterns/	JSON + BD aprimorado + padrões de tempo de execução baseados em SQLite
Plugin Ghidra	plugins/ghidra/	Integração de UI em andamento (vários templates faltando)
Esquemas / Validação	data/schemas/	Esquemas JSON para validação de saída de análise e formatos de padrões

---

Visão Geral da Arquitetura

VMDragonSlayer usa uma arquitetura modular onde múltiplos motores de análise trabalham juntos:

graph TD
    A[VM Discovery Engine] --> B[Pattern/ML Classifier]
    B --> C[Symbolic Execution Engine]
    B --> D[Dynamic Taint Tracker]
    D --> C
    
    subgraph DataSources ["Data Sources"]
        E[Pattern Database]
        F[ML Models - PoC]
    end
    
    subgraph Coordination
        G[Orchestrator - Workflow Management & Coordination]
    end
    
    E --> B
    F --> B
    A --> G
    B --> G
    C --> G
    D --> G
    E --> G
    F --> G
    G --> H[REST API Server]
    G --> I[Plugins - RE Tools]

Motores de Análise Principais

1. Motor de Descoberta de VM (dragonslayer.analysis.vm_discovery)

• Propósito: Detectar e classificar esquemas de proteção baseados em VM
• Técnicas: Detecção de loop de despacho, análise de tabela de manipuladores, heurísticas de fluxo de controle
• Alvos: VMProtect, Themida, VMs de malware personalizadas, proteção aninhada

2. Rastreamento Dinâmico de Taint (dragonslayer.analysis.taint_tracking)

• Propósito: Rastrear fluxo de dados através da execução da VM para identificar caminhos críticos
• Implementação: Instrumentação baseada em Intel Pin com precisão em nível de byte
• Funcionalidades: Memória sombra, evasão de anti-análise, descoberta automatizada de manipuladores

3. Análise de Padrões (dragonslayer.analysis.pattern_analysis)

• Propósito: Classificar e categorizar padrões e comportamentos de VM
• Métodos: Correspondência baseada em regras, análise de similaridade, classificação por ML
• Banco de Dados: Banco de padrões extensível com esquemas JSON

4. Execução Simbólica (dragonslayer.analysis.symbolic_execution)

• Propósito: Explorar caminhos de execução da VM simbolicamente
• Funcionalidades: Resolução de restrições, priorização de caminhos, mesclagem de estados
• Integração: Usa resultados de análise de taint para semear a exploração

5. Pipeline de Aprendizado de Máquina (dragonslayer.ml)

• Propósito: Classificação automatizada e assistência à análise
• Modelos: Modelos básicos de prova de conceito para pesquisa e educação
• Componentes: Extração de características, treinamento de modelos, predição ensemble

Estrutura do Repositório

VMDragonSlayer/
├── dragonslayer/                    # Pacote Python principal
│   ├── analysis/                   # Motores de análise
│   │   ├── vm_discovery/          # Detecção e classificação de VM
│   │   ├── pattern_analysis/      # Correspondência de padrões e classificação ML
│   │   ├── symbolic_execution/    # Motor de execução simbólica
│   │   ├── taint_tracking/        # Análise dinâmica de taint
│   │   └── anti_evasion/          # Contramedidas de anti-análise
│   ├── api/                       # Servidor e cliente REST API
│   ├── core/                      # Componentes principais do framework
│   ├── ml/                        # Pipeline de aprendizado de máquina
│   ├── analytics/                 # Relatórios de análise e métricas
│   ├── gpu/                       # Suporte a aceleração GPU
│   ├── utils/                     # Funções utilitárias
├── data/                          # Arquivos de configuração e dados
│   ├── patterns/                  # Banco de padrões
│   ├── models/                    # Modelos ML e metadados
│   │   ├── pretrained/           # Modelos pré-treinados (PoC)
│   │   └── metadata/             # Metadados e esquemas de modelos
│   ├── samples/                   # Amostras e registros de amostras
│   ├── schemas/                   # Esquemas JSON para validação
│   └── training/                  # Configurações de treinamento
├── plugins/                       # Plugins de ferramentas de engenharia reversa
│   ├── ghidra/                   # Plugin Ghidra (Java/Gradle)
│   ├── idapro/                   # Plugin IDA Pro (Python)
│   └── binaryninja/              # Plugin Binary Ninja (Python)
├── tests/                         # Conjunto de testes
├── documentation/                 # Documentação
└── LICENSE                        # Licença GPL v3

Ecossistema de Plugins

VMDragonSlayer integra-se com as principais ferramentas de engenharia reversa:

Plugin Ghidra

• Linguagem: Java com sistema de build Gradle
• Funcionalidades: UI de análise de VM, visualização de padrões, fluxos de análise automatizados
• Status: Framework implementado, componentes de UI em desenvolvimento

Plugin IDA Pro

• Linguagem: Python
• Funcionalidades: Integração perfeita com o motor de análise do IDA
• Status: Funcionalidade central disponível

Plugin Binary Ninja

• Linguagem: Python
• Funcionalidades: Integração nativa com a API do Binary Ninja
• Status: Integração básica implementada

Componentes de Aprendizado de Máquina

Nota: Os modelos ML incluídos são implementações básicas de prova de conceito projetadas para fins de pesquisa e educacionais.

---

Instalação

Pré-requisitos

• Python 3.8 ou superior
• Uma ou mais ferramentas de engenharia reversa:
  • Ghidra 10.0+ (para o plugin Ghidra)
  • IDA Pro 7.0+ (para o plugin IDA)
  • Binary Ninja (para o plugin Binary Ninja)

Requisitos de Hardware