entropystrip

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

ما الذي يفعله

معظم البرمجيات الخبيثة الحديثة تختبئ خلف الحزم (packers)، أو المحمّلات المشوّشة، أو المراحل المشفّرة المصممة للتسلل عبر ماسحات الإنتروبيا الساذجة التي تفحص الملف بالكامل. بدلاً من الاعتماد على التوقيعات الثابتة للبايتات، يقيّم entropystrip ما يلي:

1. رادار الأقسام الفرعية بالنافذة المنزلقة: نوافذ منزلقة ثنائية الدقة (1024 بايت و256 بايت) تكشف الحمولات المشفرة المركّزة المخفية داخل أقسام كبيرة منخفضة الإنتروبيا أو الطبقات العلوية.
2. دفاع التخفيف المعمّم ومربع كاي ($\chi^2$): يهزم مراوغات الحشو (الأصفار المتداخلة، منزلقات NOP) من خلال تحليل توزيعات البايتات النمطية والانتظام الإحصائي.
3. عناصر التجهيز القائمة على النصوص: يعلّم عناصر تجهيز الذاكرة (UuidFromString، RtlIpv4StringToAddress) ويكتشف مجموعات شيفرة الصدفة (shellcode) بصيغة UUID.
4. أذونات الذاكرة (W+X): يحدد الأقسام المعلّمة في الوقت نفسه كقابلة للكتابة وقابلة للتنفيذ (IMAGE_SCN_MEM_WRITE وIMAGE_SCN_MEM_EXECUTE).
5. رادار الطبقة العلوية والشهادات: يقيس البايتات الزائدة غير المعيّنة ويتحقق هيكلياً من جداول WIN_CERTIFICATE الخاصة بـ Authenticode للتمييز بين الشهادات الحقيقية والحمولات المُسقطة.
6. تعيين MITRE ATT&CK: يربط النتائج تلقائياً بمعرّفات تقنيات الخصم (T1027، T1027.001، T1027.002، T1055، T1497، T1129).
7. القائمة البيضاء للمثبّتات: يتحقق من رؤوس NSIS الهيكلية (0xdeadbeef) ورؤوس الإعداد لإزالة الإيجابيات الكاذبة على البرمجيات الشرعية.
8. استخراج الحمولات الآلي: يقوم --dump باستخراج الأقسام المشبوهة والطبقات العلوية مباشرة إلى القرص لفك التشويش دون اتصال.
9. فرز الحوادث للمجلدات: يتنقل عبر المجلدات ويرتّب جميع الملفات التنفيذية على لوحة صدارة فرز الحوادث.

---

التثبيت

المتطلبات: Python 3.8+ على Windows أو Linux أو macOS.

pip install entropystrip

أو التثبيت مباشرة من المصدر:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

---

الاستخدام

usage: entropystrip [-h] [-r] [--dump] [--deep] [--html HTML] [--json JSON] target

EntropyStrip: PE De-obfuscator & Triage Engine

positional arguments:
  target         Path to Windows executable (.exe / .dll) or directory to scan

options:
  -h, --help     show this help message and exit
  -r, --recursive
                 recursively scan subdirectories if target is a folder
  --dump         carve and write high-entropy payloads to extracted_payloads/
  --deep         deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  --html HTML    write minimalist HTML report to specified path
  --json JSON    write machine-readable JSON telemetry to specified path

أمثلة

تحليل ملف تنفيذي واحد:

python main.py target.exe

فرز جنائي عميق مع تعيين MITRE ATT&CK وفك التجميع:

python main.py suspicious.exe --deep

تحليل واستخراج مخازن الحمولات المخفية:

python main.py suspicious.exe --dump

تُكتب الحمولات المستخرجة إلى extracted_payloads/<target>_<section>.bin.

تصدير تقرير HTML مستقل:

python main.py sample.exe --html report.html

فرز مجلد كامل من الملفات غير المعروفة:

python main.py "C:\IncidentTriage" -r

---

مرجع مقياس الإنتروبيا

يقيس إنتروبيا شانون كثافة المعلومات من 0.00 إلى 8.00 بت لكل بايت:

$$H(X) = -\sum_{i=0}^{255} P(x_i) \log_2 P(x_i)$$

نطاق الإنتروبيا	المحتوى المتوقع	ملاحظات
0.00 - 2.00	حشو أصفار، جداول متفرقة	شائع في البيانات غير المهيّأة أو حشو المحاذاة
2.00 - 5.50	ASCII قياسي، إعدادات	بيانات وصفية عادية للتطبيق، نصوص
5.50 - 6.60	شيفرة آلة مُجمّعة أصلية	تعليمات x86/x64 القياسية (.text)
6.60 - 7.30	أصول مضغوطة	صور نقطية، أيقونات، تدفقات zlib/deflate
7.40 - 8.00	نص مشفّر تشفيرياً	حمولات مشفّرة بـ AES/RC4 أو شيفرة صدفة محزومة بإحكام

---

الترخيص

ترخيص MIT. راجع LICENSE للتفاصيل.