Development of Ghidra Extension to Analyze Malware Generated by Rust

IPSJ

Bibliographic Information

Other Title
  • Rustで生成されたマルウェアを解析するためのGhidra拡張機能の開発

Description

近年，脅威アクターはマルウェアの作成に，Go Lang，Rust，Nim等といった言語を使うことがある．特にRustは実行速度，並行処理の容易さ，メモリに関するバグが少なさから，マルウェアの作成に使われることがある．一般的に静的解析で使用されるリバースエンジニアリングツールはほとんどがデコンパイル機能を持っている．しかし，現状デコンパイラはC言語へのデコンパイルのみで，Rustへのデコンパイルが出来ないので，Rustで生成されたバイナリをデコンパイルすると，あまり参考にならない結果が返ってくることがあり，現状解析が困難である．今回，NSAが開発したリバースエンジニアリングツールであるGhidraの拡張機能を作成し，Rustの静的解析をする容易にする手法を提案する．

In recent years, threat actors have been using languages such as Go Lang, Rust, and Nim to create malware. In general, most reverse engineering tools used for static analysis have decompilation capabilities. However, currently only decompilers to C exist, and decompiling binaries generated by Rust to C sometimes returns unhelpful results, making analysis difficult. In this study, we propose an extension to Ghidra, a reverse engineering tool developed by National Security Agency (NSA), to facilitate static analysis of other languages.

Journal

Details 詳細情報について

Report a problem

Back to top