ergrelet/themida-unmutateСтатический деобфускатор для мутационной обфускации Themida, WinLicense и Code Virtualizer 3.x.
Инструмент на Python 3 для статической деобфускации функций, защищённых мутационной обфускацией Themida, WinLicense и Code Virtualizer 3.x.
Инструмент был протестирован на Themida вплоть до версии 3.1.9. Ожидается, что он будет работать также с WinLicense и Code Virtualizer.
Также доступен плагин для Binary Ninja здесь.
Вы можете установить проект с помощью pip:
pip install themida-unmutate
Автономная сборка PyInstaller доступна для Windows в разделе «Releases».
Вот как выглядит CLI:
$ themida-unmutate --help
usage: themida-unmutate [-h] -a ADDRESSES [ADDRESSES ...] -o OUTPUT [--no-trampoline] [--reassemble-in-place] [-v] protected_binary
Automatic deobfuscation tool for Themida's mutation-based protection
positional arguments:
protected_binary Protected binary path
options:
-h, --help show this help message and exit
-a ADDRESSES [ADDRESSES ...], --addresses ADDRESSES [ADDRESSES ...]
Addresses of the functions to deobfuscate
-o OUTPUT, --output OUTPUT
Output binary path
--no-trampoline Disable function unwrapping
--reassemble-in-place
Rewrite simplified code over the mutated code rather than in a new code section
-v, --verbose Enable verbose logging