legu_unpacker_2019

Распаковщик Легу

Скрипты для распаковки Android-приложений, защищенных Tencent Legu. Он работает только с версиями Legu 4.1.0.15 и 4.1.0.18 .

Сообщение в блоге: https://blog.quarkslab.com/a-glimpse-into-tencents-legu-packer.html.

Обзор

Исходные файлы DEX расположены в assets/0OO00l111l1l со следующей разметкой:

Детали этой структуры можно найти в файле Kaitai: legu_packed_file.ks.

Хэшмап , встроенный во вторую часть, описан в файле legu_hashmap.ks:

пилегу

pylegu содержит привязки Python для расшифровки и распаковки данных, встроенных в assets/0OO00l111l1l .

Чтобы скомпилировать и установить pylegu :

$ cd pylegu
$ python3.7 ./setup.py build -j4 install --user
$ python -c " import pylegu "

Можно также использовать jap/pyucl для распаковки данных и aguinet/dragonffi для привязки пользовательской реализации XTEA.

Начать

Образец com.intotherain.voicechange.apk представляет собой подозрительное приложение, которое можно распаковать следующим образом:

$ python ./unpack.py ./samples/com.intotherain.voicechange.apk

[+] Legu version: 4.1.0.15
[+] Password is ' IPk2Hw7AKTuIQBlc '
[+] Number of dex files: 1
[+] Unpacking # 1 DEX files ...
[+] dex 0 compressed size:   0x1619a3
[+] dex 0 uncompressed size: 0x5671f8

[+] Unpacking # 1 hashmap ...
[+] hashmap 0 compressed size:   0x4399c
[+] hashmap 0 uncompressed size: 0x95558

[+] Unpacking # 1 packed methods ...
[+] packed methods 0 compressed_size:   0xf4636
[+] packed methods 0 uncompressed_size: 0x1e3072

[+] Stage 2: Patching DEX files
[+] Unpacked APK: unpacked.apk

Распакованные файлы DEX находятся в файле unpacked.apk .

Требования

• Питон >= 3,7
• Кайтай Структ
• ЛИФ
• пилегу