vmp-lazy-unpack

Windows (x64, x32) VMProtect 3.x बाइनरीज़ के लिए एक एमुलेशन-आधारित अनपैकर और इम्पोर्ट रिज़ॉल्वर।

यह प्रोजेक्ट हमारी डीवर्चुअलाइज़ेशन पाइपलाइन में VMProtect 3 को अनपैक करने के लिए उपयोग की जाने वाली एक स्क्रिप्ट के रूप में शुरू हुआ। यह डीबगर अटैच करने या लाइव डंप करने की आवश्यकता के बिना ऐसा करता है।

कैसे

यह प्रोजेक्ट VMProtect के अनपैकर और इम्पोर्ट रिज़ॉल्वर द्वारा उपयोग किए जाने वाले सिसकॉल्स को एमुलेट करने के लिए Unicorn का उपयोग करता है।

• यह प्रोजेक्ट एक विशिष्ट Windows बिल्ड पर पिन किए गए Windows dll एक्सपोर्ट्स की एक कैटलॉग के साथ आता है।
• बाइनरी को एक सिम्युलेटेड Windows प्रोसेस के साथ मैप किया जाता है।
• एमुलेशन एंट्री पॉइंट से शुरू होता है, जो रिस्टोर किए गए कोड और रिज़ॉल्व किए गए इम्पोर्ट्स को ट्रैक करते हुए api और सिसकॉल्स को संभालता है।
• जब निष्पादन रिस्टोर किए गए कोड में प्रवेश करता है तो हम एमुलेशन रोक देते हैं।
• IAT को एकत्रित मेटा से पुनर्निर्मित किया जाता है, पहचाने गए इम्पोर्ट स्टब्स को पैच किया जाता है, एक्सेप्शन टेबल्स को ठीक किया जाता है।
• अनपैक किए गए, एमुलेट किए गए प्रोसेस को फिर मेमोरी से डिस्क पर डंप किया जाता है।

इंस्टॉलेशन

py -m pip install -e .

अच्छी गति के लिए Microsoft C++ Build Tools इंस्टॉल करने की सिफारिश की जाती है ताकि C हेल्पर का उपयोग किया जा सके। यदि इंस्टॉल नहीं है तो अनपैकिंग पूरी तरह से python आधारित हुक्स पर वापस चली जाती है (धीमी)।

उपयोग

सामान्य अनपैकिंग + इम्पोर्ट फिक्सअप्स के लिए चलाएँ:

py -m unpack "C:\path\file.exe"

32bit के लिए उपयोग करें:

py -m unpack "C:\path\file.exe" --32bit

पहले से अनपैक की गई बिन पर इम्पोर्ट्स ठीक करने के लिए:

py -m unpack "C:\path\file.bin" --imports_only

सीमाएँ

• केवल Windows x86 का समर्थन करता है। VMProtect 3.4, 3.9, 3.10, और 3.11 के विरुद्ध परीक्षण किया गया।
• यह कोड को डीवर्चुअलाइज़ नहीं करेगा।
• यह वर्चुअलाइज़्ड फ़ंक्शन्स के अंदर बाहरी कॉल्स को स्वचालित रूप से रिज़ॉल्व नहीं करेगा। ये रिकवर किए गए इम्पोर्ट्स बाद में लिफ्टिंग के लिए IAT में शामिल किए जाते हैं।

---

डीओबफस्केशन या रिवर्स इंजीनियरिंग के बारे में बात करना चाहते हैं?