mwemuorg/mwemuReiner Rust x86 Hardware-Emulator und Windows-Prozess-Simulator für Malware-Analyse, Shellcode-Emulation und Payload-Entpackung. Unterstützt 32/64-Bit-PE-Executables, Metasploit, Cobalt Strike und komplexe Malware-Familien.
Es ist ein Hardware-Emulator + Betriebssystem-Prozesssimulator, implementiert in reinem Rust.
Dieser Ansatz ist sehr praktisch für Malware-Analyse und andere Dinge (PE, Shellcode usw.)
Unterstützt x86 32/64-Bit- und AArch64-Architekturen. Das primäre Zielbetriebssystem ist Windows (vollständige Prozessemulation mit PEB/TEB/LDR, WinAPI- und Syscall-Interception), mit wachsender Unterstützung für Linux und macOS (Syscalls, ELF/Mach-O-Loader, libc-Shims).
Das Projekt wurde von scemu in mwemu umbenannt.
r2con2025 verwendet radare2 von mwemu für statische Analyse und Visualisierung innerhalb eines Emulationsmoments.
📦 Rust-Sicherheit, gut für die Emulation von Malware.
⚡ sehr schnelle Emulation
make test_speed (baut Release und emuliert 20M Instruktionen von enigma, gibt die verstrichene Zeit an)angetrieben von der großartigen iced-x86 Rust-Disassembler-Bibliothek.
Kommandozeilen-Tool, Rust-Bibliothek und Python-Bibliothek.
Iterationsdetektor.
Speicher- und Registerverfolgung.
farbig.
an einem bestimmten Moment anhalten und den Zustand erkunden oder ändern.
339 CPU-Instruktionen implementiert.
260 WinAPI-32-Bit-Funktionen aus 15 DLLs implementiert.
204 WinAPI-64-Bit-Funktionen aus 10 DLLs implementiert.
alle Linux-Syscalls.
SEH-Ketten.
Vectored Exception Handler.
PEB-, TEB-Strukturen.
dynamisches Linken.
IAT-Bindung.
Delay Loading.
Speicherallokator.
Reaktion auf int3.
nicht debugged cpuid.
32-Bit- und 64-Bit-Shellcode-Emulation.
pe32- und pe64-Executable-Emulation.
vollständige Emulation mit bekannten Payloads:
partielle Emulation mit komplexen Malware-Funktionen:
Während der Emulation können Sie die Anzahl der emulierten CPU-Instruktionen sehen, das ist eine eindeutige ID für einen Emulationsmoment.
Mit dem -c-Flag stoppen Sie die Emulation an einem bestimmten Moment und untersuchen mit der Konsole, was vor sich geht.
MWEMU emulator for malware 0.7.11
@sha0coder
USAGE:
mwemu [FLAGS] [OPTIONS]
FLAGS:
-6, --64bits enable 64bits architecture emulation
--banzai skip unimplemented instructions, and keep up emulating what can be emulated
--flags trace the flags hex value in every instruction.
-F, --fpu trace the fpu states.
-h, --handle handle Ctrl+C to spawn console
--help Prints help information
-l, --loops show loop interations, it is slow.
-m, --memory trace all the memory accesses read and write.
-n, --nocolors print without colors for redirectin to a file >out
-r, --regs print the register values in every step.
-p, --stack_trace trace stack on push/pop
-t, --test test mode
--version Prints version information
-v, --verbose -vv for view the assembly, -v only messages, without verbose only see the api calls and goes
faster