論文の概要: VMSpec: A Decompiler-based Approach against Virtual Machine Obfuscation

• arxiv url: http://arxiv.org/abs/2610.29566v1
• Date: Wed, 21 Oct 2026 10:57:55 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-23 09:50:43.246408
• Title: VMSpec: A Decompiler-based Approach against Virtual Machine Obfuscation
• Title（参考訳）: VMSpec: 仮想マシンの難読化に対するデコンパイラベースのアプローチ
• Abstract要約: 悪意ある俳優は、しばしばコードを難読化し、調査的なリバースエンジニアリングの努力を妨げる。 我々はVMSpecを提案する。VMSpecは、VMプロセッサ仕様の構築を自動化する、新しいデコンパイラベースのアプローチである。 我々は,確立した難読化ベンチマークから,147個のプログラム上でVMSpecのプロトタイプを評価する。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by-nc-sa/4.0/
• Abstract: Malicious actors frequently obfuscate their code to hinder investigative reverse engineering efforts. Among the most formidable techniques is virtual machine (VM) obfuscation: programs are translated into bytecode for a custom VM, often with a randomized virtual instruction set and distributed alongside a corresponding interpreter. Manual analysis and deobfuscation scale poorly due to the complexity of VM obfuscation and the diversification techniques that render each VM and interpreter unique. Existing methods primarily focus on simplifying execution traces and identifying virtual execution boundaries. However, comparatively little attention has been given to recovering higher-level program semantics from VM-obfuscated code. To address this gap, we propose VMSpec, a novel decompiler-based approach that automates the construction of VM processor specifications, enabling existing, well-known decompilers to analyze the VM-obfuscated code. We evaluate our prototype of VMSpec on 147 programs from an established obfuscation benchmark, comprising hash functions, standard algorithms, and randomized functions, obfuscated with different configurations of the Tigress and Code Virtualizer obfuscators. To demonstrate real-world applicability, we additionally include six domain generation algorithms stemming from real-world malware. VMSpec completely strips VM-obfuscation from nearly all obfuscated samples, producing output comparable to Ghidra's decompilation of the original code. Furthermore, it is the first method capable of reconstructing the complete program behavior of VM-obfuscated programs with infinite, input-dependent paths and recursive calls.
• Abstract（参考訳）: 悪意ある俳優は、しばしばコードを難読化し、調査的なリバースエンジニアリングの努力を妨げる。 プログラムは、しばしばランダム化された仮想命令セットを持ち、対応するインタプリタと一緒に配布されるカスタムVMのバイトコードに変換される。 VM難読化の複雑さと、各VMとインタプリタをユニークなものにする多様化技術のため、手動による解析と難読化のスケールは不十分である。 既存のメソッドは主に、実行トレースの簡略化と仮想実行バウンダリの識別に重点を置いている。 しかし、VMに障害のあるコードから高レベルなプログラムセマンティクスを復元するのに、比較的注意が向けられていない。 このギャップに対処するため,我々はVMSpecを提案する。VMSpecは,VMプロセッサ仕様の構築を自動化する,新しいデコンパイラベースのアプローチである。 我々は、ハッシュ関数、標準アルゴリズム、ランダム化関数を含む確立された難読化ベンチマークから147プログラム上のVMSpecのプロトタイプを評価し、TigressとCode Virtualizerの難読化器の異なる構成で難読化されている。 実世界の適用性を実証するために、実世界のマルウェアから派生した6つのドメイン生成アルゴリズムを含める。 VMSpecは、ほとんどすべての難読化されたサンプルからVMの難読化を完全に取り除き、Ghidraのオリジナルのコードの非コンパイルに匹敵する出力を生成する。 さらに、VMに障害のあるプログラムの完全なプログラム動作を、無限で入力依存のパスと再帰的な呼び出しで再構築できる最初の方法である。

関連論文リスト

• A Core-Structure-Based Automated Analysis Tool for Commercial Virtualization Obfuscation Deobfuscation [4.0782474409194736]
  難読化プログラムの長さは約85%削減された。 検証によって、小規模プログラムが元のプログラムと同じ意味論に完全に復元されたことが確認された。
  論文  参考訳（メタデータ） (2026-05-29T06:36:46Z)
• Pushan: Trace-Free Deobfuscation of Virtualization-Obfuscated Binaries [18.483613577646974]
  既存の自動難読化技術には3つの大きな欠点がある。 それらは実行トレースのみで動作するため、難読化バイナリ内のすべてのロジックをリカバリすることができない。 PUSHANはトレースフリーであり、パス制約の蓄積を避ける。 これは、保護されたコードを高品質なCの擬似コードに分解して、効果的な分析を可能にする最初のアプローチである。
  論文  参考訳（メタデータ） (2026-03-18T23:37:39Z)
• Static Detection of Core Structures in Tigress Virtualization-Based Obfuscation Using an LLVM Pass [4.7664516965746335]
  本稿では,静的解析により,仮想化による難読化の構造成分を同定することを目的とする。 実験の結果,コンパイラ最適化がなければ,提案したLLVM Passが主要な仮想化オプション全体にわたって,すべてのコア構造を検出することができた。
  論文  参考訳（メタデータ） (2026-01-19T10:15:59Z)
• Context-Guided Decompilation: A Step Towards Re-executability [50.71992919223209]
  バイナリ逆コンパイルは、ソフトウェアセキュリティ分析、リバースエンジニアリング、マルウェア理解において重要な役割を果たす。 大規模言語モデル (LLMs) の最近の進歩により、ニューラルデコンパイルが可能になったが、生成されたコードは一般的に意味論的にのみ使用可能である。 In-context Learning(ICL)を活用して,再実行可能なソースコードを生成するためのILC4Decompを提案する。
  論文  参考訳（メタデータ） (2025-11-03T17:21:39Z)
• "Digital Camouflage": The LLVM Challenge in LLM-Based Malware Detection [0.0]
  大規模言語モデル(LLM)がマルウェア検出のための有望なツールとして登場した。 しかし、逆コンパイラレベルの難読化の下での信頼性はまだ発見されていない。 本研究は,コンパイラレベルの難読化技術に対する3つの最先端LCMのロバスト性を実証的に評価する。
  論文  参考訳（メタデータ） (2025-09-20T12:47:36Z)
• Decompiling Smart Contracts with a Large Language Model [51.49197239479266]
  Etherscanの78,047,845のスマートコントラクトがデプロイされているにも関わらず(2025年5月26日現在)、わずか767,520 (1%)がオープンソースである。 この不透明さは、オンチェーンスマートコントラクトバイトコードの自動意味解析を必要とする。 バイトコードを可読でセマンティックに忠実なSolidityコードに変換する,先駆的な逆コンパイルパイプラインを導入する。
  論文  参考訳（メタデータ） (2025-06-24T13:42:59Z)
• SMC++: Masked Learning of Unsupervised Video Semantic Compression [58.345380470925456]
  ビデオセマンティクスを特に保持するMasked Video Modeling (MVM) を利用した圧縮フレームワークを提案する。 MVMは、マスクされたパッチ予測タスクを通じて一般化可能なセマンティクスを学ぶのに熟練している。 また、簡単なテクスチャの詳細やビットコストの浪費、セマンティックノイズなど、意味のない情報をエンコードすることもできる。
  論文  参考訳（メタデータ） (2024-06-07T09:06:40Z)
• White-box Multimodal Jailbreaks Against Large Vision-Language Models [61.97578116584653]
  本稿では,テキストと画像のモダリティを併用して,大規模視覚言語モデルにおけるより広範な脆弱性のスペクトルを利用する,より包括的戦略を提案する。 本手法は,テキスト入力がない場合に,逆画像プレフィックスをランダムノイズから最適化し,有害な応答を多様に生成することから始める。 様々な有害な指示に対する肯定的な反応を誘発する確率を最大化するために、対向テキスト接頭辞を、対向画像接頭辞と統合し、共最適化する。
  論文  参考訳（メタデータ） (2024-05-28T07:13:30Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。