vmp-lazy-unpack

Windows (x64, x32) VMProtect 3.x バイナリ向けの、エミュレーションベースのアンパッカーおよびインポートリゾルバ。

このプロジェクトは、私たちの devirtualization パイプラインで VMProtect 3 をアンパックするために使用していたスクリプトとして始まりました。デバッガをアタッチしたり、ライブでダンプしたりする必要なくこれを実現します。

仕組み

このプロジェクトは Unicorn を使用して、VMProtect のアンパッカーとインポートリゾルバが使用する syscall をエミュレートします。

• このプロジェクトには、特定の Windows ビルドに固定された Windows dll エクスポートのカタログが同梱されています。
• バイナリは、シミュレートされた Windows プロセスとともにマッピングされます。
• エミュレーションはエントリポイントから開始され、復元されたコードと解決されたインポートを追跡しながら api と syscall を処理します。
• 実行が復元されたコードに入った時点でエミュレーションを停止します。
• 収集されたメタ情報から IAT が再構築され、認識されたインポートスタブがパッチされ、例外テーブルが修正されます。
• アンパックされたエミュレート済みプロセスは、その後メモリからディスクへダンプされます。

インストール

py -m pip install -e .

十分な速度を得るには、C ヘルパーが使用されるように Microsoft C++ Build Tools をインストールすることを推奨します。インストールされていない場合、アンパックは純粋に Python ベースのフックにフォールバックします（より低速）。

使用方法

通常のアンパック + インポート修正を実行するには:

py -m unpack "C:\path\file.exe"

32bit の場合は次を使用します:

py -m unpack "C:\path\file.exe" --32bit

すでにアンパック済みのバイナリのインポートを修正するには:

py -m unpack "C:\path\file.bin" --imports_only

制限事項

• Windows x86 のみをサポートします。VMProtect 3.4、3.9、3.10、3.11 に対してテスト済みです。
• これはコードを devirtualize しません。
• これは仮想化された関数内の外部呼び出しを自動的に解決しません。これらの復元されたインポートは、後のリフティングのために IAT に含まれます。

---

難読化解除やリバースエンジニアリングについて話しませんか?