vmp-lazy-unpack

Un désempaqueteur et résolveur d'imports basé sur l'émulation pour les binaires Windows (x64, x32) VMProtect 3.x.

Le projet a débuté comme un script utilisé pour désempaqueter VMProtect 3 dans notre pipeline de dévirtualisation. Il y parvient sans avoir besoin d'attacher un débogueur ni de dumper en direct.

Fonctionnement

Le projet utilise Unicorn pour émuler les appels système utilisés par le désempaqueteur et le résolveur d'imports de VMProtect.

• Le projet est livré avec un catalogue d'exports de DLL Windows épinglés à une version spécifique de Windows.
• Le binaire est mappé avec un processus Windows simulé.
• L'émulation démarre au point d'entrée, gérant les appels API et système tout en suivant le code restauré et les imports résolus.
• Nous arrêtons l'émulation lorsque l'exécution entre dans le code restauré.
• L'IAT est reconstruite à partir des métadonnées collectées, les stubs d'imports reconnus sont patchés, les tables d'exceptions sont corrigées.
• Le processus désempaqueté et émulé est ensuite dumpé de la mémoire vers le disque.

Installation

py -m pip install -e .

Pour des vitesses correctes, il est recommandé d'installer Microsoft C++ Build Tools afin que l'assistant C soit utilisé. S'il n'est pas installé, le désempaquetage se rabat sur des hooks purement Python (plus lents).

Utilisation

Pour un désempaquetage normal + corrections d'imports, exécutez :

py -m unpack "C:\path\file.exe"

Pour le 32 bits, utilisez :

py -m unpack "C:\path\file.exe" --32bit

Pour corriger les imports sur un binaire déjà désempaqueté :

py -m unpack "C:\path\file.bin" --imports_only

Limitations

• Ne prend en charge que Windows x86. Testé contre VMProtect 3.4, 3.9, 3.10 et 3.11.
• Cela ne dévirtualisera pas le code.
• Cela ne résoudra pas automatiquement les appels externes à l'intérieur des fonctions virtualisées. Ces imports récupérés sont inclus dans l'IAT pour un lifting ultérieur.

---

Envie de discuter de désobfuscation ou de reverse engineering ?