mwemuorg/mwemuEmulador de hardware x86 en Rust puro y simulador de procesos de Windows para análisis de malware, emulación de shellcode y desempaquetado de payloads. Soporta ejecutables PE de 32/64 bits, Metasploit, Cobalt Strike y familias de malware complejas.
Es un emulador de hardware + simulador de procesos del sistema operativo implementado en rust puro.
Este enfoque es muy conveniente para el análisis de malware y otras cosas (PE, shellcode, etc.)
Soporta arquitecturas x86 de 32/64 bits y AArch64. El sistema operativo objetivo principal es Windows (emulación completa de procesos con PEB/TEB/LDR, WinAPI e intercepción de syscalls), con soporte creciente para Linux y macOS (syscalls, cargadores ELF/Mach-O, shims de libc).
El proyecto fue renombrado de scemu a mwemu.
r2con2025 usando radare2 desde mwemu para hacer análisis estático y visualización dentro de un momento de emulación.
📦 seguridad de rust, bueno para emular malware.
⚡ emulación muy rápida
make test_speed (compila en release y emula 20M instrucciones de enigma, reportando el tiempo transcurrido)impulsado por la increíble librería desensambladora iced-x86 de rust.
herramienta de línea de comandos, librería rust y librería python.
detector de iteraciones.
seguimiento de memoria y registros.
coloreado.
detente en un momento específico y explora el estado o modifícalo.
339 instrucciones de CPU implementadas.
260 winapi de 32 bits implementadas de 15 dlls.
204 winapi de 64 bits implementadas de 10 dlls.
todas las syscalls de linux.
cadenas SEH.
manejador de excepciones vectorizadas.
estructuras PEB, TEB.
enlazado dinámico.
binding de IAT.
carga diferida.
asignador de memoria.
reaccionar con int3.
cpuid no depurado.
emulación de shellcode de 32 bits y 64 bits.
emulación de ejecutables pe32 y pe64.
emulación completa con payloads conocidos:
emulación parcial con funciones complejas de malware:
Durante la emulación puedes ver el número de instrucciones de cpu emuladas, ese es un ID único para un momento de emulación.
Con el flag -c detienes la emulación en un momento específico e inspeccionas qué está ocurriendo con la consola.
MWEMU emulator for malware 0.7.11
@sha0coder
USAGE:
mwemu [FLAGS] [OPTIONS]
FLAGS:
-6, --64bits enable 64bits architecture emulation
--banzai skip unimplemented instructions, and keep up emulating what can be emulated
--flags trace the flags hex value in every instruction.
-F, --fpu trace the fpu states.
-h, --handle handle Ctrl+C to spawn console
--help Prints help information
-l, --loops show loop interations, it is slow.
-m, --memory trace all the memory accesses read and write.
-n, --nocolors print without colors for redirectin to a file >out
-r, --regs print the register values in every step.
-p, --stack_trace trace stack on push/pop
-t, --test test mode
--version Prints version information
-v, --verbose -vv for view the assembly, -v only messages, without verbose only see the api calls and goes
faster