vmprotect-research

Dévirtualiseur VMProtect généralisé prenant en charge les versions 1.x–3.x. Outil CLI autonome et plugin Ghidra pour le décodage automatisé du bytecode, la classification des handlers et la reconstruction des instructions x86-64 à partir de binaires protégés.

Binaire : target/release/vmp_devirt

Utilisation

Résultats de validation

Résumé

• Total d'échantillons : 22
• Taux de réussite : 22/22 (100 %)
• Temps de traitement moyen : 229 ms
• Temps total : 5,0 secondes

Par version

Échantillons testés :

• VMP 1.x : HiVmp.vmp.1.1.exe, HiVmp.vmp.1.4.exe, HiVmp.vmp.1.54.exe, HiVmp.vmp.1.70.4.exe
• VMP 2.x : Branch0.vmp.exe, HiVmp.exe, mfc_algo_demo.vmp.exe, Project1.vmp.exe, Project2.vmp.exe, Project4.vmp.exe
• VMP 3.x : add_control_flow.vmp.exe, adder.vmp.exe, bitwise.vmp.exe, control_flow_test.vmp.exe, cpuid_test.vmp.exe, fac_fib.vmp.exe, globals.vmp.exe, hello_world.vmp.exe, multiadder.vmp.exe, nested_virt_funccall.vmp.exe, ptr_drf.vmp.exe, switch.vmp.exe

Voir VALIDATION_REPORT.md pour les résultats détaillés.

Architecture

Modules principaux

Total : ~2 800 lignes de code Rust de production

Détails d'implémentation

Détection de version

Heuristiques basées sur :

• Modèles d'entrée des handlers (opcodes POP/PUSH)
• Mécanisme de dispatch (jumptable vs. chaîne chiffrée vs. chaîne de handlers)
• Disposition des sections PE (.vmp0, .vmp1, .text)
• Modèle de stub d'entrée (PUSH chiffré + CALL/JMP)

Extraction de la table de dispatch

VMP 1.x/2.x : Extraction de clé XOR par correspondance de motifs dans la section .text

• Analyse les motifs d'instructions XOR
• Dérive les clés des séquences d'opcodes
• Valide par rapport à la plage de base de l'image

VMP 3.x : Dispatch par chaîne de handlers

• Localise les points de dispatch (DP0-DP5)
• Trace les chaînes de handlers
• Extrait les 256 entrées de dispatch

Classification des handlers

Correspondance de motifs sur :

• Motif d'entrée (49 8b 2a = POP pour VMP 3.x)
• Opération principale (SUB, ADD, XOR, etc.)
• Types d'opérandes (slot, offset, immédiat)
• Mécanisme de dispatch (push/ret, jmp direct)

Décodage du bytecode

1. Lire l'opcode depuis la section bytecode
2. Rechercher la sémantique du handler
3. Extraire les opérandes (slot, offset)
4. Déchiffrer les opérandes via les chaînes ValueCryptor
5. Reconstruire l'instruction x86-64
6. Gérer le contexte VM (fichier de registres, drapeaux, pile)

Limitations connues

1. VMP 3.7+ (Handlers fusionnés) - Non pris en charge. VMP 3.7+ a introduit des handlers fusionnés (plusieurs opérations par entrée de handler), ce qui casse le classifieur actuel. Nécessite de l'ingénierie inverse avec un échantillon réel 3.7+. Voir FUTURE_WORK.md pour plus de détails.
2. Avertissements de validation de clé XOR - Attendus pour VMP 1.x/2.x (non critiques)
3. Détection du dispatch VMP 3.x - Utilise une stratégie de repli pour les obfuscations plus récentes
4. Échantillons Linux - Non inclus dans le jeu de test actuel (prise en charge ELF implémentée)

Performance

• Débit : ~4,4 échantillons/seconde
• Mémoire : <50 Mo par échantillon
• Latence : 5 ms à 3,25 s selon la taille du binaire

Documentation

• VALIDATION_REPORT.md - Résultats de test complets
• IMPLEMENTATION_COMPLETE.md - Statut d'implémentation
• UNICORN_IMPLEMENTATION_REPORT.md - Détails de la capture de clé XOR

Références sources

Architecture basée sur l'analyse de la fuite du code source de VMP 3.5.1 :

• Structure des handlers et mécanisme de dispatch
• Implémentation des chaînes ValueCryptor
• Modèles d'opérations ALU
• Gestion du contexte VM

Licence

Utilisation à des fins de recherche et d'éducation

Contact

Pour les problèmes ou questions, consultez les rapports de validation ou la documentation d'implémentation.

Dernière mise à jour : 2026-06-01 Statut : Prêt pour la production