mal_unpack

Décompresseur dynamique basé sur PE-sieve ( 📖 En savoir plus ).

Il déploie un malware empaqueté, attend qu'il décompresse la charge utile, extrait (dump) la charge utile, puis tue le processus d'origine.

[!CAUTION]
Ce décompresseur déploie le malware d'origine. Utilisez-le uniquement sur une machine virtuelle.

⚙ Utilisation

Utilisation de base :

mal_unpack.exe /exe <path_to_the_malware> /timeout <timeout: ms>

• Par défaut, il extrait (dump) les PE implantés.
• Si vous souhaitez extraire les shellcodes, utilisez l'option : /shellc.
• Si vous souhaitez extraire les PE modifiés/hookés/patchés, utilisez l'option /hooks.
• Si vous voulez que le décompresseur se termine à l'expiration du délai plutôt qu'à la première implantation trouvée, utilisez /trigger T.

[!IMPORTANT]
Les arguments disponibles sont documentés sur le Wiki. Ils peuvent également être listés à l'aide de l'argument /help.

🛠 Aides et utilitaires

• Pour des performances optimales, installez le pilote MalUnpackCompanion.
• Consultez aussi le wrapper Python : MalUnpack Runner
• Consultez la bibliothèque Python : MalUnpack Lib

Clonage

Utilisez un clone récursif pour obtenir le dépôt avec ses sous-modules :

git clone --recursive https://github.com/hasherezade/mal_unpack.git

Compilations

Téléchargez la dernière release.