Control Flow Graph Recovery for Dynamically Loaded Code via Symbolic Library Resolution

Resumo Técnico: Recuperação de Grafos de Fluxo de Controle para Código Carregado Dinamicamente via Resolução Simbólica de Bibliotecas

Declaração do Problema
A análise de software moderna enfrenta uma limitação crítica ao lidar com código carregado dinamicamente. Embora os Grafos de Fluxo de Controle (CFGs) sejam fundamentais para análises estáticas e dinâmicas, técnicas como carregamento dinâmico de código permitem que programas evitem a detecção estática. Softwares protegidos e malwares utilizam cada vez mais vinculação dinâmica em tempo de execução, chamadas indiretas e mecanismos de evasão em nível de sistema (por exemplo, execução sem arquivos, análise manual de ELF e nomes de bibliotecas criptografados) para ocultar seus verdadeiros caminhos de execução.

As ferramentas existentes falham em abordar isso de forma holística:

• Desmontadores Estáticos (por exemplo, IDA Pro, Ghidra) não conseguem analisar código que não existe no momento da análise.
• Instrumentação Dinâmica (por exemplo, PIN, Frida) requer a execução do binário, o que apresenta riscos de segurança para análise de malwares e limita-se aos caminhos executados.
• Frameworks de Execução Simbólica (por exemplo, Angr) geralmente tratam APIs de carregamento dinâmico como valores simbólicos, perdendo informações concretas sobre quais bibliotecas são carregadas e onde seus símbolos são resolvidos.

O desafio central é que o carregamento dinâmico opera em dois níveis interagentes — carregamento do código e resolução de símbolos para transferências indiretas — que as ferramentas existentes analisam isoladamente, resultando em CFGs incompletos.

Metodologia
O artigo propõe um módulo de análise segura que recupera CFGs completos combinando execução simbólica com pré-carregamento especulativo de bibliotecas. O sistema opera inteiramente dentro de um ambiente de execução simbólica (utilizando o framework Angr) para evitar a execução de código potencialmente malicioso.

A arquitetura emprega uma abordagem de dois níveis dentro de um único estado simbólico:

1. Nível 1: Interceptação no Nível de API (Resolução Simbólica de Bibliotecas)

   • O sistema instala 42 SimProcedures personalizadas (abstrações em Python) para interceptar chamadas de sistema e funções de biblioteca específicas.
   • Categorias de Interceptação:
     • Carregamento Dinâmico: Intercepta dlopen, dlsym, dlclose e funções internas do glibc para resolver caminhos de biblioteca e endereços de símbolos.
     • Operações de Memória: Detecta mapeamento de memória executável via mmap, mprotect e execução sem arquivos via memfd_create.
     • Execução de Processos e Segurança: Rastreia substituição de processos (execve), threads (clone) e mecanismos anti-debugging (ptrace).
     • Operações de Rede e Arquivo: Intercepta operações de socket para lidar com carregamento acionado por rede e operações de arquivo para mapear descritores de arquivo para caminhos.
   • Extração Unificada de Strings: Para lidar com argumentos simbólicos (por exemplo, caminhos criptografados ou computados), o sistema utiliza um solucionador SMT (Z3 via Claripy) para concretizar ponteiros simbólicos contra um conjunto de strings candidatas conhecidas ou escaneando o binário por referências.

2. Nível 2: Rastreamento no Nível de Instrução

   • Operando sobre a Representação Intermediária VEX, este nível monitora transferências de fluxo de controle indiretas.
   • Registra pontos de interrupção para chamadas, saltos e retornos.
   • Quando uma transferência indireta visa um endereço simbólico, o sistema restringe o alvo para cair dentro de regiões executáveis conhecidas (preenchidas pelo Nível 1). Se satisfatível, o solucionador concretiza o endereço, vinculando a chamada indireta a uma função específica.

3. Motor de Correlação

   • Este motor vincula eventos entre ambos os níveis, mapeando descritores de arquivo para caminhos, manipuladores de biblioteca para objetos carregados e endereços de símbolos resolvidos para seus locais de chamada.
   • Realiza rastreamento de contaminação (taint tracking) para traçar o fluxo de dados desde entradas externas (por exemplo, sockets de rede) até argumentos de carregamento de biblioteca.
   • Inclui algoritmos para detectar achatamento de fluxo de controle, Código Auto-modificável (SMC) e cadeias de Programação Orientada a Retorno (ROP).

Contribuições Principais

• Análise Segura: A metodologia permite a análise de código potencialmente malicioso sem execução, realizando todo o carregamento e resolução de bibliotecas simbolicamente.
• Arquitetura de Dois Níveis: Correlaciona de forma única a interceptação de API de alto nível com o rastreamento de instruções de baixo nível para reconstruir a cadeia completa, desde o carregamento da biblioteca até a invocação indireta.
• Tratamento de Evasão: O sistema aborda técnicas avançadas de evasão, incluindo nomes de bibliotecas criptografados, caminhos derivados de ambiente, descriptografia multiestágio e análise manual de ELF.
• Validação: A abordagem valida descobertas simbólicas contra a verdade fundamental usando instrumentação dinâmica independente baseada em Frida.

Resultados
O módulo foi avaliado em um conjunto de 16 benchmarks sintéticos projetados para simular várias técnicas de ofuscação e evasão (por exemplo, criptografia XOR, strings de pilha, carregamento multiestágio e execução sem arquivos).

• Detecção de Bibliotecas: O módulo alcançou 100% de precisão e 100% de revocação na detecção de bibliotecas carregadas dinamicamente em todos os benchmarks.
• Melhoria do CFG: Comparado às bases de análise estática, os CFGs recuperados continham:
  • 29,8% mais nós.
  • 26,5% mais arestas.
  • 41,6% mais funções.
• Desempenho: Os tempos de análise foram medidos em segundos (variando de 0,21s a 0,97s por benchmark), com todas as descobertas verificadas independentemente pelo Frida.

Significado e Limitações
O artigo afirma demonstrar a viabilidade de recuperar CFGs de binários onde a identidade do código é determinada apenas em tempo de execução. Ao combinar execução simbólica com interceptação abrangente de API, o sistema constrói CFGs que refletem a verdadeira estrutura do programa, incluindo arestas invisíveis à análise estática.

Os autores mantêm uma postura modesta quanto às implicações futuras:

• Limitações: A implementação atual não reverte transformações de ofuscação (elas são sinalizadas, mas não desfeitas). O rastreamento de contaminação ignora atualmente fluxos de informação implícitos (por exemplo, através de operações criptográficas). O suporte a plataformas limita-se a binários ELF Linux em x86-64 e ARM64.
• Trabalho Futuro: Os autores sugerem que iterações futuras poderiam integrar desofuscação automática, expandir o suporte a plataformas e incorporar aprendizado de máquina para identificar novas técnicas de evasão.

O trabalho estabelece uma base técnica para pesquisas futuras em análise de binários, detecção de malwares e endurecimento de software, provando que a execução simbólica pode ser efetivamente estendida para lidar com cenários de carregamento dinâmico de forma segura.