Training

Abstract

In recent years, Rust has become increasingly popular among malware authors. Its ease of cross-compilation and unique code patterns make traditional C/C++-based analysis less effective, driving attackers to adopt Rust.

Through this hands-on training, participants will learn to reverse-engineer Rust binaries in IDA by leveraging their existing C/C++ analysis skills.

Participants will:

• Build and analyze small Rust programs (e.g., Vec, Box, Slice, Iterator) to learn code patterns and structure layouts.
• Understand key Rust concepts including monomorphization, trait objects/vtables, the main call sequence, and standard library usage.
• Progressively map and analyze different parts of a malware sample to understand the overall functionality.

By the end of the course, participants will gain practical skills to efficiently reverse-engineer Rust-based malware, improving their overall analysis capabilities.

Agenda

1. Introduction
   • Setup the lab environment
2. Basic Concepts in Rust for Malware Analysis
   • Ownership, Borrowing, Lifetime
   • Smart Pointers
   • Closures and Environment Capturing
   • Traits (including &dyn Trait), Generics and Monomorphization
   • Rust Representation
   • Fat/Thin/Raw Pointers
   • ABI Lowering
   • Entry Points in Rust
   • Calling External Functions (FFI)
3. Basic Usage of Rust Toolchains
4. Important Data Structures and Related Functions
   • Vec
   • Enum
   • Slice
   • String vs &str
   • String Encoding
   • Iterator
   • Format Strings
   • Low-Level Memory Manipulation (Raw Pointer Operations)
5. Error Handling
   • Match and related expressions
   • Option and Result
6. Process Handling
   • Program Arguments
7. Optimizations
8. RIFT
9. Reverse Engineering Rust Malware
10. Wrap up

参加者が準備するもの

Windows 11 x86_64 VMを必ずご持参ください。VMは新規インストールを強く推奨します。Windows 11のダウンロードに約6GB、Visual Studioのダウンロードに20GB弱が必要です。必ずOSとVisual Studioを事前にVMへインストールしてください。実在するマルウェアを配布するため、必ずVM環境で受講してください。

• Windows 11 x86_64 VM: RAM 4GB以上、CPU 2以上、ディスク100GB以上（開発環境のインストールに必要です）。Windows 11 Enterprise 評価版
• Visual Studio 2022以降（Community edition可）。「Desktop development with C++」を必ず選択してインストールしてください。Visual Studio Community
• IDA Pro 9.2以降（お持ちでない方にはIDA Classroom Freeを貸与します）
• LLVM 23.1.2（約800MBのため、事前ダウンロードを推奨します）。LLVM Releases

事前準備

上記のVMを準備し、当日ご持参ください。

参加者に求めるスキル

• C/C++のソースコードや、C/C++にデコンパイルされたコードを読む能力
• x86やx64のアセンブリ言語を読む能力
• IDA Proの基本操作（構造体、union、enumの作成・適用、関数定義の編集・適用など）
• C/C++で書かれたマルウェアのリバースエンジニアリング経験
• オブジェクト指向プログラミングの基本的な理解（クラス、メソッド、vtable、継承、コンストラクター、デストラクター、オーバーロードなど）

講師紹介

株式会社インターネットイニシアティブ ネットワーク事業本部 セキュリティ本部 セキュリティ情報統括室。IIJのCSIRTチームであるIIJ-SECTのメンバーとして、社内・顧客のインシデント対応に従事し、主にマルウェア解析とフォレンジック調査を担当。得られた知見を基に、Black Hat（USA、Europe、Asia）、Virus Bulletin、FIRST TCなどの国際カンファレンスや、内閣サイバーセキュリティセンター（NISC）、総務省、法務省、IPA、産総研などで講演。Black Hat USA、FIRST（Annual、TC）、Global Cybersecurity Camp、MWS、セキュリティ・キャンプ全国大会、サイバーコロッセオなど、国内外のカンファレンスで専門家向けトレーニング講師も務める。Black Hat USAでは日本人として初めてトレーニング講師に選ばれ、フォレンジック調査とマルウェア解析を用いたインシデントレスポンスなど、複数のトレーニングコースを提供。マルウェア解析・フォレンジック調査分野で20年以上の経験を有する。