vmp-lazy-unpack

Windows (x64, x32) VMProtect 3.x 바이너리를 위한 에뮬레이션 기반 언패커 및 임포트 리졸버입니다.

이 프로젝트는 우리의 디버추얼라이제이션 파이프라인에서 VMProtect 3를 언패킹하는 데 사용되던 스크립트로 시작했습니다. 디버거를 연결하거나 라이브로 덤프할 필요 없이 이를 수행합니다.

방식

이 프로젝트는 Unicorn을 사용하여 VMProtect의 언패커와 임포트 리졸버가 사용하는 시스템 콜을 에뮬레이션합니다.

• 이 프로젝트는 특정 Windows 빌드에 고정된 Windows dll 익스포트 카탈로그와 함께 제공됩니다.
• 바이너리는 시뮬레이션된 Windows 프로세스로 매핑됩니다.
• 에뮬레이션은 진입점에서 시작하여, 복원된 코드와 해결된 임포트를 추적하면서 api와 시스템 콜을 처리합니다.
• 실행이 복원된 코드로 진입하면 에뮬레이션을 중지합니다.
• 수집된 메타데이터로부터 IAT가 재구성되고, 인식된 임포트 스텁이 패치되며, 예외 테이블이 수정됩니다.
• 그런 다음 언패킹된, 에뮬레이션된 프로세스가 메모리에서 디스크로 덤프됩니다.

설치

py -m pip install -e .

적절한 속도를 위해서는 C 헬퍼가 사용되도록 Microsoft C++ Build Tools를 설치하는 것이 권장됩니다. 설치되지 않은 경우 언패킹은 순수 파이썬 기반 훅으로 폴백됩니다(더 느림).

사용법

일반적인 언패킹 + 임포트 수정을 실행하려면:

py -m unpack "C:\path\file.exe"

32비트의 경우:

py -m unpack "C:\path\file.exe" --32bit

이미 언패킹된 바이너리의 임포트를 수정하려면:

py -m unpack "C:\path\file.bin" --imports_only

제한 사항

• Windows x86만 지원합니다. VMProtect 3.4, 3.9, 3.10, 3.11에 대해 테스트되었습니다.
• 코드를 디버추얼라이즈하지는 않습니다.
• 가상화된 함수 내부의 외부 호출을 자동으로 해결하지는 않습니다. 이렇게 복구된 임포트는 나중의 리프팅을 위해 IAT에 포함됩니다.

---

디오브푸스케이션 또는 리버스 엔지니어링에 대해 이야기하고 싶으신가요?