Control Flow Graph Recovery for Dynamically Loaded Code via Symbolic Library Resolution

Resumen Técnico: Recuperación de Grafos de Flujo de Control para Código Cargado Dinámicamente mediante Resolución Simbólica de Bibliotecas

Enunciado del Problema
El análisis de software moderno enfrenta una limitación crítica al tratar con código cargado dinámicamente. Aunque los Grafos de Flujo de Control (GFC) son fundamentales tanto para el análisis estático como para el dinámico, técnicas como la carga dinámica de código permiten que los programas eludan la detección estática. El software protegido y el malware utilizan cada vez más la vinculación dinámica en tiempo de ejecución, llamadas indirectas y mecanismos de evasión a nivel de sistema (por ejemplo, ejecución sin archivos, análisis manual de ELF y nombres de bibliotecas cifrados) para ocultar sus verdaderas rutas de ejecución.

Las herramientas existentes no abordan esto de manera holística:

• Desensambladores Estáticos (por ejemplo, IDA Pro, Ghidra) no pueden analizar código que no existe en el momento del análisis.
• Instrumentación Dinámica (por ejemplo, PIN, Frida) requiere ejecutar el binario, lo que plantea riesgos de seguridad para el análisis de malware y se limita a las rutas ejecutadas.
• Marcos de Ejecución Simbólica (por ejemplo, Angr) suelen tratar las API de carga dinámica como valores simbólicos, perdiendo información concreta sobre qué bibliotecas se cargan y dónde se resuelven sus símbolos.

El desafío central es que la carga dinámica opera en dos niveles interconectados: cargar el código y resolver símbolos para transferencias indirectas, lo cual las herramientas existentes analizan de forma aislada, resultando en GFC incompletos.

Metodología
El artículo propone un módulo de análisis seguro que recupera GFC completos combinando la ejecución simbólica con la precarga especulativa de bibliotecas. El sistema opera enteramente dentro de un entorno de ejecución simbólica (utilizando el marco Angr) para evitar ejecutar código potencialmente malicioso.

La arquitectura emplea un enfoque de dos niveles dentro de un único estado simbólico:

1. Nivel 1: Intercepción a Nivel de API (Resolución Simbólica de Bibliotecas)

   • El sistema instala 42 SimProcedures personalizadas (abstracciones en Python) para interceptar llamadas al sistema y funciones de bibliotecas específicas.
   • Categorías de Intercepción:
     • Carga Dinámica: Intercepta dlopen, dlsym, dlclose y funciones internas de glibc para resolver rutas de bibliotecas y direcciones de símbolos.
     • Operaciones de Memoria: Detecta la asignación de memoria ejecutable mediante mmap, mprotect y la ejecución sin archivos mediante memfd_create.
     • Ejecución de Procesos y Seguridad: Rastrea el reemplazo de procesos (execve), la creación de hilos (clone) y mecanismos anti-depuración (ptrace).
     • Operaciones de Red y Archivo: Intercepta operaciones de sockets para manejar la carga activada por la red y operaciones de archivo para mapear descriptores de archivo a rutas.
   • Extracción Unificada de Cadenas: Para manejar argumentos simbólicos (por ejemplo, rutas cifradas o calculadas), el sistema utiliza un solucionador SMT (Z3 a través de Claripy) para concretizar punteros simbólicos contra un conjunto de cadenas candidatas conocidas o escaneando el binario en busca de referencias.

2. Nivel 2: Rastreo a Nivel de Instrucción

   • Operando sobre la Representación Intermedia VEX, este nivel monitorea las transferencias de flujo de control indirectas.
   • Registra puntos de interrupción para llamadas, saltos y retornos.
   • Cuando una transferencia indirecta apunta a una dirección simbólica, el sistema restringe el objetivo para que caiga dentro de regiones ejecutables conocidas (pobladas por el Nivel 1). Si es satisfacible, el solucionador concretiza la dirección, vinculando la llamada indirecta a una función específica.

3. Motor de Correlación

   • Este motor vincula eventos entre ambos niveles, mapeando descriptores de archivo a rutas, manejadores de bibliotecas a objetos cargados y direcciones de símbolos resueltos a sus sitios de llamada.
   • Realiza rastreo de taint para trazar el flujo de datos desde entradas externas (por ejemplo, sockets de red) hasta argumentos de carga de bibliotecas.
   • Incluye algoritmos para detectar la aplanamiento del flujo de control, Código Auto-modificable (SAM) y cadenas de Programación Orientada a Retornos (ROP).

Contribuciones Clave

• Análisis Seguro: La metodología permite el análisis de código potencialmente malicioso sin ejecución, realizando toda la carga y resolución de bibliotecas de forma simbólica.
• Arquitectura de Dos Niveles: Correlaciona de manera única la intercepción de API de alto nivel con el rastreo de instrucciones de bajo nivel para reconstruir la cadena completa desde la carga de bibliotecas hasta la invocación indirecta.
• Manejo de Evasión: El sistema aborda técnicas avanzadas de evasión, incluidos nombres de bibliotecas cifrados, rutas derivadas del entorno, descifrado multi-etapa y análisis manual de ELF.
• Validación: El enfoque valida los hallazgos simbólicos contra la verdad fundamental utilizando instrumentación dinámica independiente basada en Frida.

Resultados
El módulo fue evaluado en un conjunto de 16 puntos de referencia sintéticos diseñados para simular diversas técnicas de ofuscación y evasión (por ejemplo, cifrado XOR, cadenas de pila, carga multi-etapa y ejecución sin archivos).

• Detección de Bibliotecas: El módulo logró un 100% de precisión y un 100% de exhaustividad en la detección de bibliotecas cargadas dinámicamente en todos los puntos de referencia.
• Mejora del GFC: En comparación con las líneas base de análisis estático, los GFC recuperados contenían:
  • 29.8% más nodos.
  • 26.5% más aristas.
  • 41.6% más funciones.
• Rendimiento: Los tiempos de análisis se midieron en segundos (oscilando entre 0.21s y 0.97s por punto de referencia), con todos los descubrimientos verificados independientemente por Frida.

Significado y Limitaciones
El artículo afirma demostrar la viabilidad de recuperar GFC a partir de binarios donde la identidad del código se determina solo en tiempo de ejecución. Al combinar la ejecución simbólica con una intercepción integral de API, el sistema construye GFC que reflejan la verdadera estructura del programa, incluidas las aristas invisibles para el análisis estático.

Los autores mantienen una postura modesta con respecto a las implicaciones futuras:

• Limitaciones: La implementación actual no invierte transformaciones de ofuscación (las señala pero no las deshace). El rastreo de taint ignora actualmente los flujos de información implícitos (por ejemplo, a través de operaciones criptográficas). El soporte de plataforma se limita a binarios ELF de Linux en x86-64 y ARM64.
• Trabajo Futuro: Los autores sugieren que las iteraciones futuras podrían integrar la desofuscación automática, extender el soporte de plataforma e incorporar aprendizaje automático para identificar nuevas técnicas de evasión.

El trabajo establece una base técnica para futuras investigaciones en análisis de binarios, detección de malware y endurecimiento de software, demostrando que la ejecución simbólica puede extenderse eficazmente para manejar escenarios de carga dinámica de manera segura.