eset/wslink-vm-analyzerWslinkVMAnalyzer — это инструмент, предназначенный для упрощения анализа кода, защищённого виртуальной машиной, используемой во вредоносном ПО Wslink.
WslinkVMAnalyzer — это инструмент, разработанный в первую очередь для облегчения анализа Wslink, уникального загрузчика, работающего как сервер и выполняющего получаемые модули в памяти. Этот инструмент использует Miasm, фреймворк с открытым исходным кодом, предоставляющий нам механизм символьного выполнения.
Инструмент и структура виртуальной машины описаны в нашем посте в блоге.
% pip3 install https://github.com/eset/wslink-vm-analyzer/archive/refs/heads/master.tar.gz
В каталоге examples вы найдёте дамп виртуальной машины и два Python-скрипта. Скрипты выводят файлы Graphviz DOT (vma.dot), которые можно преобразовать в SVG или любой другой формат, поддерживаемый Graphviz.
(./examples) % python3 VM1.py
(./examples) % dot -Tsvg vma.dot -o vma.svg