WDExtract

Extrair banco de dados do Windows Defender de arquivos vdm e descompactá-lo

Este programa é distribuído como está, sem qualquer garantia;
Sem suporte oficial, se você gosta desta ferramenta, sinta-se à vontade para contribuir.

Descompactar contêineres VDM do Windows Defender/Microsoft Security Essentials;
Descriptografar contêiner VDM embutido na Ferramenta de Remoção de Software Malicioso (MRT.exe);
Extrair contêiner RMDX bruto sem descompactar (opção -ec);
Mesclar arquivo VDM base com arquivo delta (opção -m);
Extrair todas as imagens PE dos contêineres descompactados/descriptografados/mesclados em tempo real (opção -e):
- despejar VDLLs (Virtual DLLs);
- despejar conteúdo do VFS (Sistema de Arquivos Virtual);
- despejar imagens auxiliares de assinaturas;
- despejar imagens GAPA (Analisador de Protocolo de Nível de Aplicação Genérico) usadas pelo NIS (Sistema de Inspeção de Rede);
- o código pode ser adaptado para despejar partes específicas de tipo do banco de dados (não implementado);
Mais rápido que qualquer script.

wdextract file [-e] wdextract file [-ec] wdextract baseFile deltaFile -m [-e] wdextract baseFile -m deltaFile [-e]

file - nome do arquivo do contêiner VDM (arquivo *.vdm ou executável MRT.exe);
baseFile - nome do arquivo do contêiner VDM base;
deltaFile - nome do arquivo delta a ser mesclado com o arquivo base;
-e parâmetro opcional, extrair todas as partes de imagem PE encontradas do contêiner após descompactar/descriptografar/mesclar;
-ec extrair contêiner RMDX bruto sem processamento adicional (incompatível com as opções -e e -m);
-m mesclar arquivo VDM base com arquivo delta;
-mc verificar soma de verificação do arquivo mesclado.

Exemplo:

wdextract c:\wdbase\mpasbase.vdm
wdextract c:\wdbase\mpasbase.vdm -e
wdextract c:\wdbase\mrt.exe
wdextract c:\wdbase\mrt.exe -e
wdextract c:\wdbase\mpasbase.vdm -ec
wdextract c:\wdbase\mpasbase.extracted c:\wdbase\mpasdlta.extracted -m
wdextract c:\wdbase\mpasbase.extracted c:\wdbase\mpasdlta.extracted -m -e
wdextract c:\wdbase\mpasbase.extracted -m c:\wdbase\mpasdlta.extracted [-e] [-mc]

O arquivo de entrada será descompactado/descriptografado para o diretório de origem como %originalname%.extracted (por exemplo, se o arquivo original for c:\wdbase\mpasbase.vdm, o descompactado será c:\wdbase\mpasbase.extracted). Contêineres brutos serão extraídos como %originalname%.rdmx. Arquivos mesclados serão salvos como %originalname%.merged. As partes de imagem serão despejadas no diretório "chunks" criado no diretório atual do wdextract (por exemplo, se wdextract for executado a partir de c:\wdbase, será o diretório c:\wdbase\chunks). Os arquivos de saída sempre sobrescrevem os existentes.
Ao usar o comando de mesclagem (-m), certifique-se de que está mesclando arquivos previamente descompactados/descriptografados pelo WDExtract. Por exemplo, se você deseja mesclar o delta para mpasbase.vdm que é mpasdlta.vdm, então você precisa descompactar mpasbase.vdm e mpasdlta.vdm e só então mesclar os resultados descompactados.

Nenhum dado binário real despejado/extraído/descompactado está incluído ou será incluído neste repositório.

Usa a Biblioteca de Compressão de Dados ZLIB (https://github.com/madler/zlib)