unthemidator

أداة فك تغليف شاملة للملفات الثنائية المحمية بـ Themida وأداة لإزالة الحماية أثناء التشغيل. لا يقوم Unthemidator بـ تشغيل الملف الثنائي، ولا يستدعي أي واجهات برمجية (APIs) أو ينفّذ أي استدعاءات نظام (syscalls) تستخدمها الملفات الثنائية الهدف على الجهاز المضيف.

يعمل Unthemidator مع جميع أنواع الملفات الثنائية الخاصة بـ Windows (dll وexe وsys وغيرها) في كلا نسختي x86 (32-بت) و x86_64 / amd64 (64-بت).

بعد فك التغليف، يتم إجراء إعادة بناء كاملة لملف PE، مما يجعل الملف الثنائي المفكوك قابلاً للتشغيل وقابلاً لتصحيح الأخطاء (debuggable).

بالإضافة إلى فك التغليف وإعادة بناء PE، يستطيع Unthemidator تحديد إصدار آلات Themida / Code Virtualizer الافتراضية المستخدمة في الملفات الثنائية.

الميزات

• فك تغليف PE كامل
• فك تغليف الموارد
• فك ضغط الآلة الافتراضية
• فك تشفير الاستيراد واستعادة IAT
• تحديد إصدار Themida/Code Virtualizer
• تحديد موقع جميع نقاط الدخول الخاصة بـ Themida/CV

طريقة الاستخدام

ببساطة اسحب وأفلت ملفاً ثنائياً مغلّفاً على unthemidator أو استخدم أمر CLI التالي على Windows:

unthemidator.exe [options] {path_to_bin.exe|.dll|.sys|.bin}

والأمر CLI التالي على نظام Unix:

./unthemidator [options] {path_to_bin.exe|.dll|.sys|.bin}

لا يُعتبر ملف PE برنامج تشغيل kernel إلا إذا كان امتداده .sys. يتم ذلك لضمان التحليل الصحيح للملفات بأي امتدادات كتطبيقات usermode افتراضيًا. ناهيك عن أن برامج تشغيل kernel المعبأة (packed) نادرة للغاية ولا يمكن تشغيلها إلا على أنظمة غير آمنة.

الخيارات

فيما يلي نظرة عامة كاملة على جميع خيارات unthemidator.

• --out-file - اسم / مسار ملف الإخراج. القيمة الافتراضية هي {program_name}.unpacked.{program_extension}
• --license-file - اسم / مسار ملف الترخيص. مطلوب لفك حزم الملفات الثنائية المحمية بـ WinLicense بنجاح.
• --imports-file - اسم (أو مسار) الملف لحفظ معلومات الاستيرادات فيه. يجب أن يكون JSON. القيمة الافتراضية هي {program_name}.imports.json
• --vms-file - اسم (أو مسار) الملف لحفظ معلومات حول نقاط دخول VM فيه. يجب أن يكون JSON. القيمة الافتراضية هي {program_name}.vms.json
• --vm-depth - لأبحاث الآلة الافتراضية وتتبع التعليمات الافتراضية، عدد طبقات المحاكاة الافتراضية التي يجب تنفيذها خطوة بخطوة (single-step). القيمة الافتراضية هي 0 - بدون استكشاف VM.
• --no-imp - تخطي البحث عن الاستيرادات
• --no-startup - تخطي معالجة بدء التشغيل وقت التشغيل. سيمنع هذا كل عمليات فك الحزم باستثناء مرحلة الإقلاع الأولية.
• --no-vm-lookup - تخطي البحث عن الآلة الافتراضية
• --no-loader - تخطي إنشاء محمّل إصلاح مكافحة التفريغ (anti-dump fixer). قد يجعل هذا الملف الثنائي غير قابل للتشغيل إذا كان OEP مُحاكى افتراضيًا أو إذا كانت هناك فحوصات أمان لكل ماكرو (per-macro)

الوحدات المخصصة

تعتمد بعض الملفات الثنائية على وحدات مخصصة تُشحن مع البرنامج. يمكنك ببساطة وضع جميع الوحدات المخصصة في دليل modules قبل فك حزم مثل هذه الملفات الثنائية. يمكن فعل الشيء نفسه مع وحدات النظام المفقودة، وهو أمر مفيد إذا كنت تشغّل unthemidator على نظام Unix.

الإبلاغ عن المشكلات

إذا واجهت مشكلة أو كان شيء لا يعمل كما هو مقصود (أو لا يعمل على الإطلاق)، فأنشئ issue في هذا المستودع.

التنزيل

تحقق من صفحة Releases للعثور على unthemidator المُجمّع مسبقًا. حاليًا، تتوفر المتغيرات التالية:

• ملف تنفيذي Windows x64
• ملف تنفيذي macOS (Apple Silicon)

إصدارات Themida المدعومة:

• Themida v3.0 - v3.2.6.0
• Win License v3.0 - v3.2.6.0
• Code Virtualizer (compressed VMs) v3.0 - v3.2.6.0
• Code Virtualizer (compressed VMs, experimental) v4.0

القيود

• لن يقوم هذا بإزالة التشويش (devirtualize, unmutate) عن الكود

الأبحاث والتوثيق وروابط مفيدة

تعرّف على المزيد حول البنية الداخلية لتشويش Themida، بما في ذلك آلاته الافتراضية، في المقالات التالية:

1. Devirtualizing Themida's (Code Virtualizer) FALCON VM to readable code. توثيق لعملية بحث Themida / CV، بدءًا من عدم وجود معرفة مسبقة بـ VM أو أدوات معقدة.
2. Detailed analysis of Themida's LION VM (Part 1). توثيق لـ Lion VM، إحدى آلات Themida / Code Virtualizer الافتراضية الأحدث.
3. Detailed analysis of Themida's LION VM (Part 2). الجزء الثاني من توثيق Lion VM.

---

Want to chat about deobfuscation or reverse engineering?