mal_unpack

Динамический распаковщик на основе PE-sieve ( 📖 Подробнее ).

Он запускает упакованный вредоносный файл, ожидает, пока тот распакует полезную нагрузку, снимает её дамп и завершает исходный процесс.

[!CAUTION]
Этот распаковщик запускает исходный вредоносный код. Используйте его только на виртуальной машине.

⚙ Использование

Базовое использование:

mal_unpack.exe /exe <path_to_the_malware> /timeout <timeout: ms>

• По умолчанию снимает дамп внедрённых PE-файлов.
• Если вы хотите снять дамп шеллкодов, используйте опцию: /shellc.
• Если вы хотите снять дамп модифицированных/хукнутых/пропатченных PE-файлов, используйте опцию /hooks.
• Если вы хотите, чтобы распаковщик завершался по таймауту, а не при первом найденном внедрённом PE-файле, используйте /trigger T.

[!IMPORTANT]
Доступные аргументы описаны в Wiki. Их также можно вывести с помощью аргумента /help.

🛠 Вспомогательные инструменты и утилиты

• Для наилучшей производительности установите драйвер MalUnpackCompanion.
• Также обратите внимание на Python-обёртку: MalUnpack Runner
• Ознакомьтесь с Python-библиотекой: MalUnpack Lib

Клонирование

Используйте рекурсивное клонирование, чтобы получить репозиторий вместе с подмодулями:

git clone --recursive https://github.com/hasherezade/mal_unpack.git

Сборки

Скачайте последний релиз.