WDExtract

Extraire la base de données Windows Defender à partir des fichiers vdm et la décompresser

Décompresser les conteneurs VDM de Windows Defender/Microsoft Security Essentials ;
Déchiffrer le conteneur VDM intégré dans l’outil de suppression de logiciels malveillants (MRT.exe) ;
Extraire les conteneurs RMDX bruts sans décompression (option -ec) ;
Fusionner le fichier VDM de base avec le fichier delta (option -m) ;
Extraire toutes les images PE des conteneurs décompressés/déchiffrés/fusionnés à la volée (option -e) :
- vider les VDLL (Virtual DLLs) ;
- vider le contenu du VFS (Virtual File System) ;
- vider les images auxiliaires des signatures ;
- vider les images GAPA (Generic Application Level Protocol Analyzer) utilisées par NIS (Network Inspection System) ;
- le code peut être adapté pour vider des blocs spécifiques de la base de données (non implémenté) ;
Plus rapide que tout script.

wdextract fichier [-e] wdextract fichier [-ec] wdextract fichierBase fichierDelta -m [-e] wdextract fichierBase -m fichierDelta [-e]

fichier – nom du fichier conteneur VDM (fichier *.vdm ou exécutable MRT.exe) ;
fichierBase – nom du fichier conteneur VDM de base ;
fichierDelta – nom du fichier delta à fusionner avec le fichier de base ;
-e paramètre optionnel, extrait tous les blocs d'images PE trouvés dans le conteneur après décompression/déchiffrement/fusion ;
-ec extrait le conteneur RMDX brut sans autre traitement (incompatible avec les options -e et -m) ;
-m fusionne le fichier VDM de base avec le fichier delta ;
-mc vérifie la somme de contrôle du fichier fusionné.

Exemple :

wdextract c:\wdbase\mpasbase.vdm
wdextract c:\wdbase\mpasbase.vdm -e
wdextract c:\wdbase\mrt.exe
wdextract c:\wdbase\mrt.exe -e
wdextract c:\wdbase\mpasbase.vdm -ec
wdextract c:\wdbase\mpasbase.extracted c:\wdbase\mpasdlta.extracted -m
wdextract c:\wdbase\mpasbase.extracted c:\wdbase\mpasdlta.extracted -m -e
wdextract c:\wdbase\mpasbase.extracted -m c:\wdbase\mpasdlta.extracted [-e] [-mc]

Le fichier d'entrée sera décompressé/déchiffré dans le répertoire source sous la forme %nomoriginal%.extracted (par exemple, si le fichier original est c:\wdbase\mpasbase.vdm, le fichier décompressé sera c:\wdbase\mpasbase.extracted). Les conteneurs bruts seront extraits sous la forme %nomoriginal%.rdmx. Les fichiers fusionnés seront sauvegardés sous la forme %nomoriginal%.merged. Les blocs d'images seront vidés dans un répertoire "chunks" créé dans le répertoire courant de wdextract (par exemple, si wdextract est exécuté depuis c:\wdbase, ce sera le répertoire c:\wdbase\chunks). Les fichiers de sortie écrasent toujours les fichiers existants.
Lors de l'utilisation de la commande de fusion (-m), assurez-vous de fusionner des fichiers préalablement décompressés/déchiffrés par WDExtract. Par exemple, si vous souhaitez fusionner le delta pour mpasbase.vdm qui est mpasdlta.vdm, vous devez d'abord décompresser mpasbase.vdm et mpasdlta.vdm, puis fusionner les résultats décompressés.

Aucune donnée binaire réelle vidée/extraite/décompressée n'est incluse ou ne sera incluse dans ce dépôt.

Utilise la bibliothèque de compression de données ZLIB (https://github.com/madler/zlib)