ergrelet/themida-unmutateStatischer Deobfuscator für die mutationsbasierte Verschleierung von Themida, WinLicense und Code Virtualizer 3.x.
Ein Python 3-Tool zur statischen Entschleierung von Funktionen, die durch Themida, WinLicense und Code Virtualizer 3.x's mutationsbasierte Verschleierung geschützt sind.
Das Tool wurde auf Themida bis Version 3.1.9 getestet. Es sollte auch mit WinLicense und Code Virtualizer funktionieren.
Ein Binary Ninja-Plugin ist ebenfalls hier verfügbar.
Sie können das Projekt mit pip installieren:
pip install themida-unmutate
Ein eigenständiger PyInstaller-Build ist für Windows in den "Releases" verfügbar.
So sieht die CLI aus:
$ themida-unmutate --help
usage: themida-unmutate [-h] -a ADDRESSES [ADDRESSES ...] -o OUTPUT [--no-trampoline] [--reassemble-in-place] [-v] protected_binary
Automatic deobfuscation tool for Themida's mutation-based protection
positional arguments:
protected_binary Protected binary path
options:
-h, --help show this help message and exit
-a ADDRESSES [ADDRESSES ...], --addresses ADDRESSES [ADDRESSES ...]
Addresses of the functions to deobfuscate
-o OUTPUT, --output OUTPUT
Output binary path
--no-trampoline Disable function unwrapping
--reassemble-in-place
Rewrite simplified code over the mutated code rather than in a new code section
-v, --verbose Enable verbose logging