WDExtract

Extraer la base de datos de Windows Defender de archivos vdm y desempaquetarla

Desempaquetar contenedores VDM de Windows Defender/Microsoft Security Essentials;
Descifrar contenedor VDM incrustado en la Herramienta de eliminación de software malintencionado (MRT.exe);
Extraer contenedores RMDX sin desempaquetar (interruptor -ec);
Fusionar archivo VDM base con archivo delta (interruptor -m);
Extraer todas las imágenes PE de los contenedores desempaquetados/descifrados/fusionados sobre la marcha (interruptor -e):
- volcar VDLL (DLL virtuales);
- volcar contenidos de VFS (Sistema de archivos virtual);
- volcar imágenes auxiliares de firmas;
- volcar imágenes GAPA (Analizador de protocolo a nivel de aplicación genérico) utilizadas por NIS (Sistema de inspección de red);
- el código puede adaptarse para volcar fragmentos específicos de tipo de base de datos (no implementado);
Más rápido que cualquier script.

wdextract file [-e] wdextract file [-ec] wdextract baseFile deltaFile -m [-e] wdextract baseFile -m deltaFile [-e]

archivo - nombre de archivo del contenedor VDM (archivo *.vdm o ejecutable MRT.exe);
archivoBase - nombre de archivo del contenedor VDM base;
archivoDelta - nombre de archivo delta para fusionar con el archivo base;
-e parámetro opcional, extrae todos los fragmentos de imagen PE encontrados en el contenedor después de desempaquetar/descifrar/fusionar;
-ec extraer contenedor RMDX sin procesamiento adicional (incompatible con las opciones -e y -m);
-m fusionar archivo VDM base con archivo delta;
-mc verificar suma de comprobación del archivo fusionado.

Ejemplo:

wdextract c:\wdbase\mpasbase.vdm
wdextract c:\wdbase\mpasbase.vdm -e
wdextract c:\wdbase\mrt.exe
wdextract c:\wdbase\mrt.exe -e
wdextract c:\wdbase\mpasbase.vdm -ec
wdextract c:\wdbase\mpasbase.extracted c:\wdbase\mpasdlta.extracted -m
wdextract c:\wdbase\mpasbase.extracted c:\wdbase\mpasdlta.extracted -m -e
wdextract c:\wdbase\mpasbase.extracted -m c:\wdbase\mpasdlta.extracted [-e] [-mc]

El archivo de entrada se desempaquetará/descifrará en el directorio de origen como %originalname%.extracted (p.ej., si el archivo original es c:\wdbase\mpasbase.vdm, el desempaquetado será c:\wdbase\mpasbase.extracted). Los contenedores sin procesar se extraerán como %originalname%.rdmx. Los archivos fusionados se guardarán como %originalname%.merged. Los fragmentos de imagen se volcarán en el directorio "chunks" creado en el directorio actual de wdextract (p.ej., si wdextract se ejecuta desde c:\wdbase, será el directorio c:\wdbase\chunks). Los archivos de salida siempre sobrescriben los existentes.
Al usar el comando de fusión (-m), asegúrese de estar fusionando archivos previamente desempaquetados/descifrados por WDExtract. Por ejemplo, si desea fusionar el delta de mpasbase.vdm que es mpasdlta.vdm, entonces necesita desempaquetar mpasbase.vdm y mpasdlta.vdm y solo entonces fusionar los resultados desempaquetados.

No se incluyen ni se incluirán datos binarios reales volcados/extraídos/desempaquetados en este repositorio.

Utiliza la biblioteca de compresión de datos ZLIB (https://github.com/madler/zlib)