C++ VMP-Imports-Deobfuscator - Деобфускатор импортов VMProtect

[colby57]

VMP-Imports-Deobfuscator позволяет деобфусцировать имеющиеся импорты в .text секции, которые декриптятся в секции VMProtect.
Она также перестраивает IAT и затем патчит все обфусцированные вызовы. Реверсеру остаётся только сдампить саму программу или модуль внутри программы. (Поддерживает только 64-бит)

Проект базируется на репозитории этого молодого человека, за что ему огромное спасибо:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Тулза была протестирована на версиях 3.1, 3.5, 3.6, 3.7, 3.8.3, 3.8.4, 3.8.5, 3.8.6.

До фикса:

После фикса:

Пример использования:

-p: required.
Usage: VMP-Imports-Deobfuscator [options]

Optional arguments:
-h --help       shows help message and exits
-v --version    prints version information and exits
-p --pid        Target process name [required]
-m --module     Target module name [default: ""]
-i --iat        Section that is used to storage new IAT, it maybe destroy vmp code [default: ".rdata"]

VMP-Imports-Deobfuscator.exe -p 3135
VMP-Imports-Deobfuscator.exe -p 3135 -m "sample.dll"
VMP-Imports-Deobfuscator.exe -p 3135 -m "sample.dll" -i ".sec0"

Пользователю больше не нужно вводить названия всех секции VMProtect, программа сама старается определять секции по вычисленной энтропии. У защищенных приложений VMProtect энтропия секции всегда больше 7.

Репозиторий тута:

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[moneymaker69]

Спасибо за тулзу <3

 

[invers1on]

Вывод: не юзайте вмп.Хорошая тулза.

 

[GodOfReversing]

Вывод юзайте милфускатор.А вообще найс вмп снят,смотри чтобы пермяков спортиков не нанял

 

[colby57]

смотри чтобы пермяков спортиков не нанял

уже год назад говорил мне, что лицуху пробанит, если буду ресерчи в паблик выкладывать

 

[GodOfReversing]

уже год назад говорил мне, что лицуху пробанит, если буду ресерчи в паблик выкладывать

Да че он себе позволяет,посади его на очко,скажи что щас девиртнешь вмп и на гитхаб выложишь

 

[Porches]

уже год назад говорил мне, что лицуху пробанит, если буду ресерчи в паблик выкладывать

 

[godelessgotlove]

 

[colby57]

Скрытое содержимое

 

[GydraMapping]

Вывод: не юзайте вмп.Хорошая тулза.

Напрашивается вопрос, а что тогда юзать?

 

[invers1on]

Напрашивается вопрос, а что тогда юзать?

Это была больше шутка, нежели серьёзный совет.

 

[OXXXYMlRON]

Напрашивается вопрос, а что тогда юзать?

ну вообще тхемида поинтереснее будет. да и администрация фемиды тебя не банит если ты их в чатах телеграма обижаешь. да и известно о ее механизмах намного меньше. да и сурс код не сливался китайцами.

 

[GydraMapping]

ну вообще тхемида поинтереснее будет. да и администрация фемиды тебя не банит если ты их в чатах телеграма обижаешь. да и известно о ее механизмах намного меньше. да и сурс код не сливался китайцами.

Спасибо за более развёрнутый ответ.

 

[invers1on]

Спасибо за более развёрнутый ответ.

Так у тебя и выбора особого нету, ореанс/вмп/своё

 

[GydraMapping]

Так у тебя и выбора особого нету, ореанс/вмп/своё

Что за ореанс? Можно подробнее?

 

[OXXXYMlRON]

Что за ореанс? Можно подробнее?

Пожалуйста, авторизуйтесь для просмотра ссылки.