vmp-lazy-unpack

Эмуляционный распаковщик и резолвер импортов для бинарников Windows (x64, x32) VMProtect 3.x.

Проект начинался как скрипт, использовавшийся для распаковки VMProtect 3 в нашем пайплайне девиртуализации. Он делает это без необходимости подключать отладчик или снимать дамп с живой системы.

Как это работает

Проект использует Unicorn для эмуляции системных вызовов, используемых распаковщиком и резолвером импортов VMProtect.

• Проект поставляется с каталогом экспортов Windows dll, привязанных к конкретной сборке Windows.
• Бинарник отображается в память с имитацией процесса Windows.
• Эмуляция начинается с точки входа, обрабатывая api и системные вызовы, отслеживая восстановленный код и разрешённые импорты.
• Мы останавливаем эмуляцию, когда исполнение входит в восстановленный код.
• IAT перестраивается из собранных метаданных, распознанные заглушки импортов патчатся, таблицы исключений исправляются.
• Затем распакованный, эмулированный процесс снимается из памяти на диск.

Установка

py -m pip install -e .

Для приличной скорости рекомендуется установить Microsoft C++ Build Tools, чтобы использовался C-хелпер. Если он не установлен, распаковка переключается на чисто python-хуки (медленнее).

Использование

Для обычной распаковки + исправления импортов выполните:

py -m unpack "C:\path\file.exe"

Для 32-битных используйте:

py -m unpack "C:\path\file.exe" --32bit

Чтобы исправить импорты в уже распакованном бинарнике:

py -m unpack "C:\path\file.bin" --imports_only

Ограничения

• Поддерживается только Windows x86. Протестировано на VMProtect 3.4, 3.9, 3.10 и 3.11.
• Это не девиртуализирует код.
• Это не разрешает внешние вызовы внутри виртуализированных функций автоматически. Эти восстановленные импорты включаются в IAT для последующего лифтинга.

---

Хотите поговорить о деобфускации или реверс-инжиниринге?