vmp-lazy-unpack

Um desempacotador e resolvedor de imports baseado em emulação para binários VMProtect 3.x do Windows (x64, x32).

O projeto começou como um script usado para desempacotar o VMProtect 3 em nosso pipeline de devirtualização. Ele faz isso sem a necessidade de anexar um depurador ou fazer dump ao vivo.

Como

O projeto usa o Unicorn para emular as syscalls usadas pelo desempacotador e resolvedor de imports do VMProtect.

• O projeto vem com um catálogo de exports de dlls do Windows fixados a uma build específica do Windows.
• O binário é mapeado com um processo Windows simulado.
• A emulação começa no entry point, tratando api e syscalls enquanto rastreia código restaurado e imports resolvidos.
• Paramos a emulação quando a execução entra no código restaurado.
• A IAT é reconstruída a partir dos metadados coletados, stubs de import reconhecidos são corrigidos, tabelas de exceção são ajustadas.
• O processo desempacotado e emulado é então extraído da memória para o disco.

Instalação

py -m pip install -e .

Para velocidades decentes, recomenda-se instalar o Microsoft C++ Build Tools para que o helper em C seja usado. Se não estiver instalado, o desempacotamento recorre a hooks puramente em python (mais lento).

Uso

Para desempacotamento normal + correções de imports, execute:

py -m unpack "C:\path\file.exe"

Para 32 bits, use:

py -m unpack "C:\path\file.exe" --32bit

Para corrigir imports em um binário já desempacotado:

py -m unpack "C:\path\file.bin" --imports_only

Limitações

• Suporta apenas Windows x86. Testado contra VMProtect 3.4, 3.9, 3.10 e 3.11.
• Isto não irá devirtualizar código.
• Isto não irá resolver chamadas externas dentro de funções virtualizadas automaticamente. Esses imports recuperados são incluídos na IAT para lifting posterior.

---

Quer conversar sobre desofuscação ou engenharia reversa?