entropystrip

أداة CLI سريعة لفرز ملفات Windows PE، وتحليل الإنتروبيا بنافذة منزلقة، واكتشاف الحمولات المخفية في أدوات التحميل والتشفير.

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

لماذا EntropyStrip؟

تحسب معظم أدوات الفرز السريع إنتروبيا شانون عبر مقاطع PE كاملة أو الملفات بأكملها. ويستغل المهاجمون تأثير المتوسط هذا في أدوات التحميل الحديثة:

• التخفيف بالحجم: إخفاء 20 كيلوبايت من شيفرة الصدفة المشفّرة داخل مقطع .rdata بحجم 1 ميغابايت محشوّ بالأصفار يُبقي إنتروبيا المقطع بأكمله دون 5.5.
• التخفيف بالحشو: تشذير النص المشفّر مع أشرطة NOP (0x90) أو فواصل متكررة يخفض النتيجة إلى مستويات الشيفرة الحميدة.
• تجهيز السلاسل النصية: تحويل شيفرة الصدفة إلى مصفوفات UUID (UuidFromStringA) أو عناوين IPv4 (RtlIpv4StringToAddressA) يُبقي إنتروبيا القرص حول 4.0 حتى إعادة التجميع وقت التشغيل.

تعالج EntropyStrip هذه النقاط العمياء عبر تحليل ما دون المقاطع والفحوصات البنيوية.

---

القدرات الرئيسية

• فحص النافذة المنزلقة: يمسح المقاطع والطبقات في نوافذ بحجم 1024 بايت و256 بايت مع خطوة تكيّفية لالتقاط الحمولات المركّزة بغض النظر عن الحجم الكلي للمقطع.
• فحوصات التخفيف ومربع كاي: يقيّم توزيع البايت الأكثر شيوعًا وتجانس الشيفرة لتمييز النص المشفّر المحشوّ.
• كشف تجهيز الذاكرة: يحدد أوليات تجهيز UuidFromString وRtlIpv4StringToAddress ومجموعات سلاسل UUID المنسّقة.
• محرك توقيعات YARA: يدمج قواعد التهديد الافتراضية (منارات Cobalt Strike، حذف نسخ الظل الخاصة ببرامج الفدية، أدوات التحميل الانعكاسية، صائدي بيض شيفرة الصدفة) وقواعد مخصصة عبر --yara [PATH]. يتضمن ماسحًا احتياطيًا بلغة Python خالصة للتنفيذ دون أي اعتماديات.
• شجرة موارد PE العميقة (.rsrc): يفحص مدخلات الموارد بشكل تكراري، ويضع علامات على ملفات PE/MZ التنفيذية المضمّنة (إخفاء المعلومات في الموارد / T1027)، ويستخرج حمولات RT_RCDATA المشفّرة.
• جدول التصدير (EAT) وفرز التحميل الجانبي لـ DLL: يكشف تجاوز/تمرير DLL ويضع علامات على الملفات التنفيذية المتنكّرة كـ DLLs نظام Windows معروفة (T1574.002).
• استخبارات التهديدات MalwareBazaar: بحث اختياري عن سمعة التجزئة عبر --bazaar لتصنيف عائلات البرمجيات الخبيثة والوسوم المجتمعية ومعدلات كشف VirusTotal دون تسريب بيانات القياس الجنائي عن بُعد افتراضيًا.
• تجزئة ضبابية بلغة Python خالصة (SSDEEP/CTPH) وتجميع الحملات: يحسب تجزئات متدرجة متقطعة دون أي اعتماديات C ويجمّع الملفات التنفيذية ذات الصلة في مجموعات حملات آلية أثناء فرز المجلدات.
• أذونات الذاكرة: يضع علامات على الشيفرة ذاتية التعديل في المقاطع المعلّمة كقابلة للكتابة والتنفيذ معًا (W+X).
• التحقق من Authenticode والمثبّتات: يتحقق من حدود دليل WIN_CERTIFICATE في PE وترويسات NSIS 0xdeadbeef حتى لا تُقيَّم البرامج الموقّعة والمثبّتات تقييمًا خاطئًا.
• فحص Rich Header: يكشف ترويسات MSVC Rich المحذوفة أو غير الصالحة في الملفات التنفيذية الأصلية.
• استخراج الحمولات: استخدم --dump لاستخراج المخازن المؤقتة المشبوهة مباشرة إلى القرص من أجل Ghidra أو x64dbg.
• فرز المجلدات: مرّر مسار مجلد لمسح الدلائل وترتيب الملفات التنفيذية على لوحة صدارة فرز الحوادث.

---

التثبيت

يتطلب Python 3.8+ على Windows أو Linux أو macOS.

pip install entropystrip

أو التثبيت من المصدر:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

الاستخدام

usage: entropystrip [-h] [-v] [-r] [--dump] [--deep] [-i] [--install]
                    [--uninstall] [--html HTML] [--json JSON]
                    [--yara [RULE_PATH]] [--bazaar] [--bazaar-key KEY]
                    [target]

EntropyStrip: PE De-obfuscator, Shannon Entropy Radar, and Incident Triage Engine

positional arguments:
  target              Path to Windows executable (.exe / .dll) or directory

options:
  -h, --help          show this help message and exit
  -v, --version       Show program's version number and exit
  -r, --recursive     Recursively scan subdirectories
  --dump              Carve high-entropy payloads to extracted_payloads/
  --deep              Deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  -i, --interactive   Launch interactive triage wizard
  --install           Install EntropyStrip globally to Windows PATH
  --uninstall         Uninstall EntropyStrip from Windows PATH
  --html HTML         Path to write standalone HTML report
  --json JSON         Path to write machine-readable JSON telemetry
  --yara [RULE_PATH]  Scan with YARA rules (uses bundled threats.yar by default, or custom file/dir)
  --bazaar            Query MalwareBazaar (abuse.ch) for sample hash intelligence and signatures
  --bazaar-key KEY    MalwareBazaar API Auth-Key (overrides MALWAREBAZAAR_API_KEY environment variable)

أمثلة

تحليل ملف ثنائي واحد باستخدام فحص YARA:

entropystrip target.exe --yara

الفحص باستخدام قواعد YARA المخصصة والاستعلام عن معلومات التهديدات من MalwareBazaar:

entropystrip suspicious.exe --yara my_rules.yar --bazaar

تحليل جنائي معمّق مع ربط MITRE ATT&CK والتفكيك:

entropystrip suspicious.exe --deep

استخراج مخازن الحمولات المخفية والموارد المضمّنة:

entropystrip suspicious.exe --dump

تُكتب الحمولات المستخرجة إلى extracted_payloads/payload_<sha256>_sec<index>_<section>.bin.

تصدير تقرير HTML مستقل:

entropystrip sample.exe --html report.html

فرز دليل كامل باستخدام التجميع الآلي للحملات:

entropystrip "C:\IncidentTriage" -r --html incident_report.html

مرجع الإنتروبيا

تقيس إنتروبيا شانون كثافة المعلومات من 0.00 إلى 8.00 بت لكل بايت:

نطاق الإنتروبيا	المحتوى النموذجي	ملاحظات
0.00 - 2.00	حشو الأصفار، الجداول المتفرقة	حشو المحاذاة، المخازن المؤقتة غير المهيأة
2.00 - 5.50	ASCII القياسي، ملفات التهيئة	البيانات الوصفية للتطبيقات، السلاسل النصية القابلة للقراءة
5.50 - 6.60	شيفرة الآلة المُجمَّعة الأصلية	تعليمات x86/x64 القياسية (.text)
6.60 - 7.30	الأصول المضغوطة	الصور النقطية، الأيقونات، تدفقات zlib/deflate
7.40 - 8.00	النص المشفّر التشفيري	الحمولات المشفرة أو شيفرة الصدفة المعبأة

---

الترخيص

ترخيص MIT. راجع LICENSE للتفاصيل.