Mengotomatiskan Reverse Engineering Malware dengan LLM Lokal
Ghidra
Seorang peneliti mempresentasikan proyek MLMalwareAnalyzer, yang mengotomatiskan analisis malware menggunakan LLM lokal (Qwen3), Ghidra, dan Neo4j. Sistem ini melakukan dekompilasi kode, menganalisis setiap fungsi dengan LLM, dan membangun grafik panggilan untuk mengidentifikasi pola perilaku seperti enkripsi file dan komunikasi dengan server C2.
Untuk mengotomatisasi rekayasa balik perangkat lunak berbahaya, telah diusulkan kombinasi PyGhidra (pengikatan Python untuk Ghidra), basis data graf Neo4j, dan LLM lokal Qwen3 yang berjalan melalui LM Studio dengan kunci API. Prosesnya melibatkan beberapa tahap: mengekstraksi fakta dari biner menggunakan PyGhidra (disassembly, dekompilasi, pengumpulan metadata dan grafik panggilan), memuat data ke Neo4j, menganalisis setiap fungsi dengan LLM lokal menggunakan konteks tetangga, menggabungkan tag menjadi kemampuan, membangun rantai perilaku, dan menghasilkan laporan. Dalam pengujian pada sampel WannaCry (195 fungsi, analisis memakan waktu 126 menit), sistem mengidentifikasi tiga pola perilaku dengan keyakinan 100%: Enkripsi File, Komunikasi C2, dan Anti-Analisis. Pola anti-debug yang ditemukan dikonfirmasi oleh aturan YARA DebuggerCheck__API.
Sumber: Habr — хаб ИИ —
asli