VMP Devirtualizer - الإصدار الإنتاجي

أداة إلغاء الافتراضية المعممة لـ VMProtect تدعم الإصدارات 1.x و 2.x و 3.x. أداة CLI مستقلة + إضافة Ghidra.

الحالة: ✅ جاهز للإنتاج | التحقق: 22/22 عينة (100%) | النطاق: VMP ≤3.6 (3.7+ يتطلب هندسة عكسية)

الميزات

• دعم متعدد الإصدارات: VMP 1.x, 2.x, 3.x (1.1 ← 3.10.5)
• كشف الإصدار: تحديد تلقائي عبر القواعد الاستقرائية
• استخراج جدول التوزيع: التقاط مفتاح XOR باستخدام Unicorn للجداول المشفرة
• تصنيف المعالجات: 256 نوع معالج عبر جميع الإصدارات
• فك ترميز البايت كود: عمليات VM ← إعادة بناء تعليمات x86-64
• دعم المنصات: ملفات Windows PE + Linux ELF
• تكامل مع مفكك التجميع: بايت كود VM ← رمز زائف
• إضافة Ghidra: تحليل تفاعلي للمعالجات + تعليقات توضيحية

البداية السريعة

البناء

cd /home/ciupix/vmp_devirt_prod
cargo build --release

الملف الثنائي: target/release/vmp_devirt

الاستخدام

# تحليل الملف الثنائي
./target/release/vmp_devirt <binary_path>

# تصدير المعالجات
./target/release/vmp_devirt <binary_path> --export-handlers handlers.json

# تصدير البايت كود
./target/release/vmp_devirt <binary_path> --export-bytecode bytecode.json

نتائج التحقق

الملخص

• إجمالي العينات: 22
• معدل النجاح: 22/22 (100%)
• متوسط وقت المعالجة: 229ms
• الوقت الإجمالي: 5.0 ثوانٍ

حسب الإصدار

العينات المختبرة:

• VMP 1.x: HiVmp.vmp.1.1.exe, HiVmp.vmp.1.4.exe, HiVmp.vmp.1.54.exe, HiVmp.vmp.1.70.4.exe
• VMP 2.x: Branch0.vmp.exe, HiVmp.exe, mfc_algo_demo.vmp.exe, Project1.vmp.exe, Project2.vmp.exe, Project4.vmp.exe
• VMP 3.x: add_control_flow.vmp.exe, adder.vmp.exe, bitwise.vmp.exe, control_flow_test.vmp.exe, cpuid_test.vmp.exe, fac_fib.vmp.exe, globals.vmp.exe, hello_world.vmp.exe, multiadder.vmp.exe, nested_virt_funccall.vmp.exe, ptr_drf.vmp.exe, switch.vmp.exe

راجع VALIDATION_REPORT.md للحصول على النتائج المفصلة.

البنية

Input Binary
    ↓
PE/ELF Loader (src/pe_loader.rs)
    ↓
Version Detector (src/version.rs)
    ↓
Dispatch Table Extractor (src/dispatch_table.rs)
    ├─ Unicorn XOR Key Capture (src/unicorn_emulator.rs)
    └─ Pattern Matching Fallback
    ↓
Handler Classifier (src/handler_classifier.rs)
    ↓
Bytecode Decoder (src/bytecode.rs)
    ├─ Operand Decryption (src/decrypt.rs)
    └─ ALU Reconstruction (src/alu.rs)
    ↓
Output (JSON/Pseudo-asm)

الوحدات الأساسية

الإجمالي: ~2,800 سطر من كود Rust الإنتاجي

تفاصيل التنفيذ

كشف الإصدار

القواعد الاستقرائية المبنية على:

• أنماط دخول المعالج (أكواد POP/PUSH)
• آلية التوزيع (جدول القفز مقابل سلسلة مشفرة مقابل سلسلة معالج)
• تخطيط أقسام PE (.vmp0, .vmp1, .text)
• نمط دعامة الدخول (PUSH مشفرة + CALL/JMP)

استخراج جدول التوزيع

VMP 1.x/2.x: استخراج مفتاح XOR عبر مطابقة الأنماط في قسم .text

• يمسح أنماط تعليمات XOR
• يستخرج المفاتيح من تسلسلات كود التشغيل
• يتحقق من الصحة مقابل نطاق قاعدة الصورة

VMP 3.x: توزيع سلسلة المعالج

• يحدد نقاط التوزيع (DP0-DP5)
• يتتبع سلاسل المعالج
• يستخرج 256 إدخال توزيع

تصنيف المعالج

مطابقة الأنماط على:

• نمط الدخول (49 8b 2a = POP لـ VMP 3.x)
• العملية الأساسية (SUB, ADD, XOR, إلخ.)
• أنواع المعاملات (فتحة، إزاحة، فوري)
• آلية التوزيع (push/ret, direct jmp)

فك ترميز البايت كود

1. قراءة كود التشغيل من قسم البايت كود
2. البحث في دلالات المعالج
3. استخراج المعاملات (فتحة، إزاحة)
4. فك تشفير المعاملات عبر سلاسل ValueCryptor
5. إعادة بناء تعليمة x86-64
6. التعامل مع سياق VM (ملف التسجيل، الأعلام، المكدس)

القيود المعروفة

1. VMP 3.7+ (المعالجات المدمجة) - غير مدعوم. إصدار VMP 3.7+ قدم معالجات مدمجة (عمليات متعددة لكل إدخال معالج) مما يكسر المصنف الحالي. يتطلب هندسة عكسية باستخدام عينة فعلية 3.7+. راجع FUTURE_WORK.md للتفاصيل.
2. تحذيرات التحقق من صحة مفتاح XOR - متوقعة لـ VMP 1.x/2.x (غير حرجة)
3. كشف توزيع VMP 3.x - يستخدم استراتيجية احتياطية للتعتيم الأحدث
4. عينات Linux - غير مدرجة في مجموعة الاختبار الحالية (تم تنفيذ دعم ELF)

الأداء

• الإنتاجية: ~4.4 عينة/ثانية
• الذاكرة: <50MB لكل عينة
• زمن الاستجابة: 5ms-3.25s حسب حجم الملف الثنائي

التوثيق

• VALIDATION_REPORT.md - نتائج الاختبار الشاملة
• IMPLEMENTATION_COMPLETE.md - حالة التنفيذ
• UNICORN_IMPLEMENTATION_REPORT.md - تفاصيل التقاط مفتاح XOR

مراجع المصدر

البنية مبنية على تحليل تسريب مصدر VMP 3.5.1:

• بنية المعالج وآلية التوزيع
• تنفيذ سلسلة ValueCryptor
• أنماط عملية ALU
• إدارة سياق VM

الترخيص

استخدام بحثي/تعليمي

الاتصال

للاستفسارات أو الأسئلة، راجع تقارير التحقق أو توثيق التنفيذ.

آخر تحديث: 2026-06-01 الحالة: جاهز للإنتاج