Control Flow Graph Recovery for Dynamically Loaded Code via Symbolic Library Resolution

Résumé technique : Récupération du graphe de flot de contrôle pour le code chargé dynamiquement via la résolution symbolique de bibliothèques

Énoncé du problème
L'analyse logicielle moderne fait face à une limitation critique lorsqu'elle traite du code chargé dynamiquement. Bien que les graphes de flot de contrôle (GFC) soient fondamentaux pour l'analyse statique et dynamique, des techniques telles que le chargement dynamique de code permettent aux programmes d'échapper à la détection statique. Les logiciels protégés et les malwares utilisent de plus en plus le liaisonnement dynamique à l'exécution, les appels indirects et des mécanismes d'évasion au niveau du système (par exemple, l'exécution sans fichier, l'analyse manuelle d'ELF et les noms de bibliothèques chiffrés) pour dissimuler leurs véritables chemins d'exécution.

Les outils existants échouent à traiter cela de manière holistique :

• Les désassembleurs statiques (par exemple, IDA Pro, Ghidra) ne peuvent pas analyser le code qui n'existe pas au moment de l'analyse.
• L'instrumentation dynamique (par exemple, PIN, Frida) nécessite l'exécution du binaire, ce qui pose des risques de sécurité pour l'analyse de malwares et se limite aux chemins exécutés.
• Les frameworks d'exécution symbolique (par exemple, Angr) traitent généralement les API de chargement dynamique comme des valeurs symboliques, perdant ainsi les informations concrètes sur les bibliothèques chargées et la résolution de leurs symboles.

Le défi central réside dans le fait que le chargement dynamique opère à deux niveaux interactifs — le chargement du code et la résolution des symboles vers des transferts indirects — que les outils existants analysent de manière isolée, entraînant des GFC incomplets.

Méthodologie
L'article propose un module d'analyse sécurisé qui récupère des GFC complets en combinant l'exécution symbolique avec un préchargement spéculatif de bibliothèques. Le système opère entièrement dans un environnement d'exécution symbolique (en utilisant le framework Angr) pour éviter d'exécuter du code potentiellement malveillant.

L'architecture emploie une approche à deux niveaux au sein d'un seul état symbolique :

1. Niveau 1 : Interception au niveau de l'API (Résolution symbolique de bibliothèques)

   • Le système installe 42 SimProcedures personnalisées (abstractions Python) pour intercepter des appels système et des fonctions de bibliothèque spécifiques.
   • Catégories d'interception :
     • Chargement dynamique : Intercepte dlopen, dlsym, dlclose et les fonctions internes de glibc pour résoudre les chemins de bibliothèque et les adresses de symboles.
     • Opérations mémoire : Détecte le mappage de mémoire exécutable via mmap, mprotect et l'exécution sans fichier via memfd_create.
     • Exécution de processus et sécurité : Suit le remplacement de processus (execve), le multithreading (clone) et les mécanismes anti-débogage (ptrace).
     • Opérations réseau et fichier : Intercepte les opérations de socket pour gérer le chargement déclenché par le réseau et les opérations de fichier pour mapper les descripteurs de fichier aux chemins.
   • Extraction unifiée de chaînes : Pour gérer les arguments symboliques (par exemple, des chemins chiffrés ou calculés), le système utilise un solveur SMT (Z3 via Claripy) pour concrétiser des pointeurs symboliques par rapport à un ensemble de chaînes candidates connues ou en scannant le binaire pour des références.

2. Niveau 2 : Suivi au niveau des instructions

   • Opérant sur la représentation intermédiaire VEX, ce niveau surveille les transferts de flot de contrôle indirects.
   • Il enregistre des points d'arrêt pour les appels, les sauts et les retours.
   • Lorsqu'un transfert indirect cible une adresse symbolique, le système contraint la cible à tomber dans des régions exécutables connues (peuplées par le Niveau 1). Si cela est satisfaisable, le solveur concrétise l'adresse, reliant l'appel indirect à une fonction spécifique.

3. Moteur de corrélation

   • Ce moteur lie les événements entre les deux niveaux, en mappant les descripteurs de fichier aux chemins, les identifiants de bibliothèque aux objets chargés et les adresses de symboles résolus à leurs sites d'appel.
   • Il effectue un suivi de contamination (taint tracking) pour tracer le flux de données depuis les entrées externes (par exemple, les sockets réseau) vers les arguments de chargement de bibliothèque.
   • Il inclut des algorithmes pour détecter l'aplatissement du flot de contrôle, le code auto-modifiant (SMC) et les chaînes de programmation orientée retour (ROP).

Contributions clés

• Analyse sécurisée : La méthodologie permet l'analyse de code potentiellement malveillant sans exécution en effectuant tout le chargement et la résolution de bibliothèques de manière symbolique.
• Architecture à deux niveaux : Elle corrèle de manière unique l'interception d'API de haut niveau avec le suivi d'instructions de bas niveau pour reconstruire la chaîne complète, du chargement de bibliothèque à l'invocation indirecte.
• Gestion de l'évasion : Le système traite des techniques d'évasion avancées, notamment les noms de bibliothèques chiffrés, les chemins dérivés de l'environnement, le déchiffrement multi-étapes et l'analyse manuelle d'ELF.
• Validation : L'approche valide les découvertes symboliques par rapport à la vérité terrain en utilisant une instrumentation dynamique indépendante basée sur Frida.

Résultats
Le module a été évalué sur une suite de 16 benchmarks synthétiques conçus pour simuler diverses techniques d'obfuscation et d'évasion (par exemple, chiffrement XOR, chaînes de pile, chargement multi-étapes et exécution sans fichier).

• Détection de bibliothèques : Le module a atteint 100 % de précision et 100 % de rappel dans la détection des bibliothèques chargées dynamiquement sur l'ensemble des benchmarks.
• Amélioration du GFC : Par rapport aux bases de référence d'analyse statique, les GFC récupérés contenaient :
  • 29,8 % de nœuds en plus.
  • 26,5 % d'arêtes en plus.
  • 41,6 % de fonctions en plus.
• Performance : Les temps d'analyse ont été mesurés en secondes (variant de 0,21 s à 0,97 s par benchmark), toutes les découvertes étant indépendamment vérifiées par Frida.

Signification et limites
L'article prétend démontrer la faisabilité de la récupération de GFC à partir de binaires où l'identité du code n'est déterminée qu'à l'exécution. En combinant l'exécution symbolique avec une interception complète des API, le système construit des GFC qui reflètent la véritable structure du programme, y compris des arêtes invisibles pour l'analyse statique.

Les auteurs adoptent une attitude modeste concernant les implications futures :

• Limitations : L'implémentation actuelle ne décode pas les transformations d'obfuscation (elle les signale mais ne les annule pas). Le suivi de contamination ignore actuellement les flux d'informations implicites (par exemple, via des opérations cryptographiques). Le support de la plateforme se limite aux binaires ELF Linux sur x86-64 et ARM64.
• Travaux futurs : Les auteurs suggèrent que les itérations futures pourraient intégrer un déobfuscation automatique, étendre le support de la plateforme et incorporer l'apprentissage automatique pour identifier de nouvelles techniques d'évasion.

Ce travail établit une base technique pour la recherche future en analyse binaire, détection de malwares et durcissement des logiciels, prouvant que l'exécution symbolique peut être efficacement étendue pour gérer de manière sécurisée les scénarios de chargement dynamique.