x86rc/vmp-lazy-unpackUnpacker basato sull'emulazione e resolver delle importazioni per binari Windows x86/x64 VMProtect 3.x, che utilizza Unicorn per emulare le syscall e ricostruire la IAT senza un debugger.
Un unpacker e resolver di import basato sull'emulazione per binari Windows (x64, x32) VMProtect 3.x.
Il progetto è nato come script utilizzato per fare l'unpack di VMProtect 3 nella nostra pipeline di devirtualizzazione. Lo fa senza la necessità di collegare un debugger o fare dump a runtime.
Il progetto utilizza Unicorn per emulare le syscall usate dall'unpacker e dal resolver di import di VMProtect.
py -m pip install -e .
Per velocità decenti si consiglia di installare Microsoft C++ Build Tools in modo che venga usato l'helper C. Se non installato, l'unpacking ricade su hook puramente basati su python (più lento).
Per il normale unpacking + fixup degli import eseguire:
py -m unpack "C:\path\file.exe"
Per 32bit usare:
py -m unpack "C:\path\file.exe" --32bit
Per correggere gli import su un bin già unpacked:
py -m unpack "C:\path\file.bin" --imports_only
Vuoi parlare di deobfuscation o reverse engineering?
