x86rc/unthemidatorUn outil automatisé de déballage et de correction de dump pour Themida / Code Virtualizer / WinLicense (v3.0-v4)
Un dépacker universel pour les binaires protégés par Themida et un outil de suppression de protection à l'exécution. Unthemidator n'exécute PAS le binaire, et n'appelle aucune API ni n'exécute aucun appel système utilisé par les binaires cibles sur la machine hôte.
Unthemidator fonctionne avec toutes sortes de binaires Windows (dll, exe, sys et autres) dans les variantes x86 (32 bits) et x86_64 / amd64 (64 bits).
Après le dépacking, une reconstruction complète du PE est effectuée, rendant le binaire dépacké exécutable et débogable.
En plus du dépacking et de la reconstruction du PE, Unthemidator peut identifier la version des machines virtuelles Themida / Code Virtualizer utilisées dans les binaires.
Il suffit de glisser-déposer un binaire packé sur unthemidator ou d'utiliser la commande CLI suivante sous Windows :
unthemidator.exe [options] {path_to_bin.exe|.dll|.sys|.bin}
et la commande CLI suivante sur un système Unix :
./unthemidator [options] {path_to_bin.exe|.dll|.sys|.bin}
Un PE ne sera considéré comme un pilote noyau que si son extension de fichier est .sys. Ceci est fait pour garantir une analyse correcte des fichiers avec n'importe quelle extension en tant qu'applications en mode utilisateur par défaut. Sans compter que les pilotes noyau packés sont extrêmement rares et ne peuvent s'exécuter que sur des systèmes non sécurisés.
Voici un aperçu complet de toutes les options d'unthemidator.
--out-file - nom / chemin du fichier de sortie. Par défaut {program_name}.unpacked.{program_extension}--license-file - nom / chemin du fichier de licence. Requis pour le dépaquetage réussi des binaires protégés par WinLicense.--imports-file - nom (ou chemin) du fichier dans lequel enregistrer les informations sur les imports. Doit être au format JSON. Par défaut {program_name}.imports.json--vms-file - nom (ou chemin) du fichier dans lequel enregistrer les informations sur les points d'entrée des VM. Doit être au format JSON. Par défaut {program_name}.vms.json--vm-depth - pour la recherche sur les machines virtuelles et le traçage des instructions virtuelles, combien de couches de virtualisation doivent être exécutées en pas-à-pas. Par défaut 0 - aucune exploration de VM.--no-imp - ignorer la recherche des imports--no-startup - ignorer le traitement du démarrage à l'exécution. Cela empêchera TOUT dépaquetage sauf l'étape de démarrage initiale.--no-vm-lookup - ignorer la recherche de machine virtuelle--no-loader - ignorer la génération du loader anti-dump. Cela peut rendre le binaire non exécutable si l'OEP est virtualisé ou s'il existe des vérifications de sécurité par macroCertains binaires dépendent de modules personnalisés fournis avec le programme. Vous pouvez simplement placer tous les modules personnalisés
dans le répertoire modules avant de dépaqueter de tels binaires. La même chose peut être faite pour les modules système
manquants, ce qui est utile si vous exécutez unthemidator sur un système Unix.
Si vous rencontrez un problème ou si quelque chose ne fonctionne pas comme prévu (ou ne fonctionne pas du tout), créez une issue dans ce dépôt.
Consultez la page Releases pour trouver unthemidator précompilé. Actuellement, les variantes suivantes sont disponibles :
Apprenez-en plus sur les rouages internes de l'obfuscation Themida, y compris ses machines virtuelles, dans les articles suivants :
Envie de discuter de désobfuscation ou de rétro-ingénierie ?
