vmp-lazy-unpack

Ein emulationsbasierter Unpacker und Import-Resolver für Windows-Binaries (x64, x32) von VMProtect 3.x.

Das Projekt begann als Skript zum Entpacken von VMProtect 3 in unserer Devirtualisierungs-Pipeline. Es erledigt dies, ohne dass ein Debugger angehängt oder live gedumpt werden muss.

Funktionsweise

Das Projekt verwendet Unicorn, um die von VMProtects Unpacker und Import-Resolver genutzten Syscalls zu emulieren.

• Das Projekt wird mit einem Katalog von Windows-DLL-Exporten ausgeliefert, die an einen bestimmten Windows-Build gebunden sind.
• Die Binary wird mit einem simulierten Windows-Prozess gemappt.
• Die Emulation beginnt am Entry Point und verarbeitet API- und Syscalls, während wiederhergestellter Code und aufgelöste Imports verfolgt werden.
• Wir stoppen die Emulation, wenn die Ausführung in wiederhergestellten Code eintritt.
• Die IAT wird aus den gesammelten Metadaten neu aufgebaut, erkannte Import-Stubs werden gepatcht, Exception-Tabellen werden korrigiert.
• Der entpackte, emulierte Prozess wird anschließend aus dem Speicher auf die Festplatte gedumpt.

Installation

py -m pip install -e .

Für anständige Geschwindigkeiten wird empfohlen, die Microsoft C++ Build Tools zu installieren, damit der C-Helper verwendet wird. Falls nicht installiert, fällt das Entpacken auf rein Python-basierte Hooks zurück (langsamer).

Verwendung

Für normales Entpacken + Import-Fixups führen Sie aus:

py -m unpack "C:\path\file.exe"

Für 32-Bit verwenden Sie:

py -m unpack "C:\path\file.exe" --32bit

Um Imports in einer bereits entpackten Binärdatei zu korrigieren:

py -m unpack "C:\path\file.bin" --imports_only

Einschränkungen

• Unterstützt nur Windows x86. Getestet gegen VMProtect 3.4, 3.9, 3.10 und 3.11.
• Dies devirtualisiert keinen Code.
• Dies löst externe Aufrufe innerhalb virtualisierter Funktionen nicht automatisch auf. Diese wiederhergestellten Imports sind in der IAT für spätere Lifting-Schritte enthalten.

---

Möchten Sie über Deobfuskierung oder Reverse Engineering sprechen?