Dangr: lenguaje declarativo para la búsqueda de vulnerabilidades e indicadores de compromiso usando ejecución simbólica

• Autores: Martínez Gavier, Lucía
• Año de publicación: 2025
• Idioma: español castellano
• Tipo de recurso: tesis de grado
• Colaborador/a o director/a de tesis: Gutson, Daniel Fernando; D'Argenio, Pedro Ruben
• Materia: Detección de intrusiones; Anomalías y mitigación de malware; Ejecución simbólica; Ciberseguridad; Análisis semántico; Análisis de binarios; Lenguaje de dominio específico; Intrusion; Anomaly detection and malware mitigation; Cybersecurity; Domain specific language
• Institución: Universidad Nacional de Córdoba

Tesis (Lic. en Cs. de la Computación)--Universidad Nacional de Córdoba, Facultad de Matemática, Astronomía, Física y Computación, 2025.
Fil: Martínez Gavier, Lucía. Universidad Nacional de Córdoba. Facultad de Matemática, Astronomía, Física y Computación; Argentina.
En un contexto donde las amenazas a la seguridad informática son cada vez más sofisticadas, detectar vulnerabilidades e indicadores de compromiso es un desafío crítico. Las herramientas utilizadas actualmente para identificar software inseguro, basadas en análisis de firmas, suelen ser insuficientes frente a binarios desconocidos, ofuscaciones y optimizaciones del compilador. Esto resalta la necesidad de enfoques más adaptativos que integren análisis semántico para identificar patrones de comportamiento. En este trabajo se introduce Dangr, un lenguaje declarativo diseñado para la detección de vulnerabilidades y comportamientos sospechosos en binarios, que basa su análisis en la ejecución simbólica. Dangr permite la definición de reglas que combinan propiedades sintácticas y semánticas, lo que facilita la identificación de comportamientos maliciosos incluso en escenarios complejos. El sistema incluye dos componentes principales: un compilador que traduce reglas de Dangr a programas en Python, y una librería de runtime que implementa las primitivas del análisis utilizando el framework angr. Como validación, se estudiaron escenarios como el caso real de evasión de debugging en el backdoor de XZ Utils. Los resultados muestran que Dangr permite implementar detecciones automatizables con alta precisión gracias a la integración de análisis semántico, lo que facilita la identificación de patrones complejos en binarios.
In a context where cybersecurity threats are becoming increasingly sophisticated, detecting vulnerabilities and indicators of compromise is a critical challenge. Current tools for identifying insecure software, which rely on fingerprinting analysis, are often insufficient when faced with unknown binaries, obfuscations and compiler optimizations. This highlights the need for more adaptive approaches that incorporate semantic analysis to identify behavioral patterns. This work introduces Dangr, a declarative language designed for detecting vulnerabilities and suspicious behaviors in binaries, based on symbolic execution. Dangr enables the definition of rules that combine syntactic and semantic properties, facilitating the identification of malicious behaviors even in complex scenarios. The system includes two main components: a compiler that translates Dangr rules into Python programs and a runtime library that implements analysis primitives using the angr framework. As part of the validation process, some scenarios were analyzed, including the real-world case of debugging evasion in the XZ Utils backdoor. The results show that Dangr enables highly precise, automatable detections by integrating semantic analysis, making it easier to identify complex patterns in binaries.
Fil: Martínez Gavier, Lucía. Universidad Nacional de Córdoba. Facultad de Matemática, Astronomía, Física y Computación; Argentina.