🔍 Contexte

Publié en octobre 2026 sur GitHub (https://github.com/x86rc/unthemidator), cet article présente Unthemidator, un outil open source de dépaquetage et de suppression de protections runtime pour les binaires Windows protégés par Themida, WinLicense et Code Virtualizer.

⚙️ Fonctionnement

Unthemidator opère de manière entièrement statique : il n’exécute pas le binaire cible, n’appelle aucune API et n’émet aucun syscall sur la machine hôte. Il prend en charge :

  • Les formats EXE, DLL, SYS et autres binaires Windows
  • Les architectures x86 (32-bit) et x86_64 / amd64 (64-bit)
  • Les systèmes Windows et Unix

🛠️ Fonctionnalités principales

  • Dépaquetage PE complet et reconstruction du PE (runnable et déboguable)
  • Dépaquetage des ressources
  • Décompression des machines virtuelles
  • Déchiffrement des imports et restauration de l’IAT
  • Identification de la version Themida / Code Virtualizer
  • Localisation de tous les points d’entrée Themida/CV

📦 Versions supportées

  • Themida v3.0 – v3.2.6.0
  • WinLicense v3.0 – v3.2.6.0
  • Code Virtualizer (VMs compressées) v3.0 – v3.2.6.0
  • Code Virtualizer v4.0 (expérimental)

⚠️ Limitations

L’outil ne dévirtualise pas le code (pas de devirtualization ni de démutation). Il ne désobfusque pas le code protégé par machine virtuelle.

📄 Type d’article

Il s’agit d’une publication d’outil open source à destination des chercheurs en reverse engineering et en analyse de malwares, permettant l’analyse statique de binaires protégés par des solutions commerciales d’obfuscation.

🧠 TTPs et IOCs détectés

TTP

  • T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)

IOC

  • Fichiers : unthemidator.exe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Unthemidator (tool)

🔴 Indice de vérification factuelle : 29/100 (basse)

  • ⬜ github.com — source non référencée (0pts)
  • ✅ 3924 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 1 TTP(s) MITRE (8pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://github.com/x86rc/unthemidator