Automatisierung der Reverse-Engineering von Malware mit lokalem Large Language Model
Ghidra
Ein Forscher stellte das Projekt MLMalwareAnalyzer vor, das die Malware-Analyse mithilfe eines lokalen Large Language Models (Qwen3), Ghidra und Neo4j automatisiert. Das System dekompiliert Code, analysiert jede Funktion mit dem Large Language Model und erstellt Call-Graphen, um Verhaltensmuster wie Dateiverschlüsselung und Kommunikation mit einem Command-and-Control-Server zu identifizieren.
Zur Automatisierung des Reverse Engineerings von Schadsoftware wurde eine Kombination aus PyGhidra (Python-Bindings für Ghidra), der Graphdatenbank Neo4j und dem lokalen LLM Qwen3 vorgeschlagen, das über LM Studio mit einem API-Schlüssel läuft. Der Prozess umfasst mehrere Phasen: Extrahieren von Fakten aus der Binärdatei mit PyGhidra (Disassemblierung, Dekompilierung, Sammlung von Metadaten und Aufrufgraph), Laden der Daten in Neo4j, Analyse jeder Funktion mit dem lokalen LLM unter Verwendung des Nachbarkontexts, Aggregation von Tags zu Fähigkeiten, Aufbau von Verhaltensketten und Erstellung eines Berichts. Bei Tests mit einer WannaCry-Probe (195 Funktionen, Analyse dauerte 126 Minuten) identifizierte das System drei Verhaltensmuster mit 100-prozentiger Sicherheit: Dateiverschlüsselung, C2-Kommunikation und Anti-Analyse. Das gefundene Anti-Debug-Muster wurde durch die YARA-Regel DebuggerCheck__API bestätigt.
Quelle: Habr — хаб ИИ —
Original