vmprotect-research — Devirtualizzatore VMProtect generalizzato che supporta versioni 1.x–3.x. Strumento CLI autonomo e plugin Ghidra per decodifica automatica del bytecode, classificazione degli handler e ricostruzione di istruzioni x86-64 da binari protetti. | Kitploit

VMP Devirtualizer - Rilascio di Produzione

Devirtualizzatore VMProtect generalizzato con supporto per le versioni 1.x, 2.x e 3.x. Strumento CLI autonomo + plugin Ghidra.

Stato: ✅ Pronto per la produzione | Validazione: 22/22 campioni (100%) | Ambito: VMP ≤3.6 (3.7+ richiede reverse engineering)

Funzionalità

Supporto Multi-Versione: VMP 1.x, 2.x, 3.x (1.1 → 3.10.5)
Rilevamento Versione: Identificazione automatica tramite euristiche
Estrazione Tabella di Dispatch: Acquisizione chiave XOR tramite Unicorn per tabelle crittografate
Classificazione Handler: 256 tipi di handler in tutte le versioni
Decodifica Bytecode: operazioni VM → ricostruzione istruzioni x86-64
Supporto Piattaforme: binari Windows PE + Linux ELF
Integrazione Decompilatore: bytecode VM → pseudocodice
Plugin Ghidra: analisi interattiva degli handler + annotazione

Avvio Rapido

Compilazione

cd /home/ciupix/vmp_devirt_prod
cargo build --release

Binario:

target/release/vmp_devirt

# Analyze binary
./target/release/vmp_devirt <binary_path>

# Export handlers
./target/release/vmp_devirt <binary_path> --export-handlers handlers.json

# Export bytecode
./target/release/vmp_devirt <binary_path> --export-bytecode bytecode.json

Input Binary
    ↓
PE/ELF Loader (src/pe_loader.rs)
    ↓
Version Detector (src/version.rs)
    ↓
Dispatch Table Extractor (src/dispatch_table.rs)
    ├─ Unicorn XOR Key Capture (src/unicorn_emulator.rs)
    └─ Pattern Matching Fallback
    ↓
Handler Classifier (src/handler_classifier.rs)
    ↓
Bytecode Decoder (src/bytecode.rs)
    ├─ Operand Decryption (src/decrypt.rs)
    └─ ALU Reconstruction (src/alu.rs)
    ↓
Output (JSON/Pseudo-asm)

Modulo	Scopo	Righe
`src/lib.rs`	Interfaccia principale della libreria	150
`src/version.rs`	Rilevamento versione VMP	200
`src/pe_loader.rs`	Caricamento binari PE/ELF	350
`src/dispatch_table.rs`	Estrazione tabella di dispatch	400
`src/unicorn_emulator.rs`	Acquisizione chiave XOR	308
`src/handler_classifier.rs`	Identificazione tipo handler	280
`src/bytecode.rs`	Lettura/decodifica bytecode	320
`src/decrypt.rs`	Catene ValueCryptor	250
`src/alu.rs`	Ricostruzione operazioni ALU	200
`src/opcode_table.rs`	Gestione opcode	180
`src/bin/cli.rs`	Strumento CLI	400

Versione	Campioni	Successo	Tempo Medio
VMP 1.x	4	4/4	38ms
VMP 2.x	6	6/6	734ms
VMP 3.x	12	12/12	39ms

vmprotect-research

Più Popolari

Utilizzo

Risultati della Validazione

Riepilogo

Per Versione

Architettura

Moduli Principali

Dettagli di Implementazione

Rilevamento Versione

Estrazione Tabella di Dispatch

Classificazione Handler

Decodifica Bytecode

Limitazioni Note

Prestazioni

Documentazione

Riferimenti alla Sorgente

Licenza

Contatti