python-exe-unpacker

المؤلف: In Ming Loh ([email protected] - @tantaryu)
الشركة: Countercept (@countercept)
الموقع الإلكتروني: https://www.countercept.com

مقدمة

سكربت يساعد الباحثين على فك التغليف وفك الترجمة للملفات التنفيذية المكتوبة بلغة بايثون. ومع ذلك، حالياً هذا يدعم فقط الملفات التنفيذية التي تم إنشاؤها باستخدام py2exe و pyinstaller.

هذا السكربت يجمع عدة أدوات متاحة للمجتمع. نأمل أن يساعد هذا الأشخاص في عملهم اليومي. تتوفر عدة قواعد YARA لتحديد ما إذا كان الملف التنفيذي مكتوباً بلغة بايثون (هذا السكربت يؤكد أيضاً ما إذا كان الملف التنفيذي قد أُنشئ باستخدام py2exe أو pyinstaller).

المتطلبات

• Python 2.7 أو أحدث.
• قم بتثبيت جميع التبعيات المطلوبة:
  pip2 install --user -r requirements.txt
  أو إذا كنت تفضل تثبيت التبعيات بصلاحيات الجذر
  sudo pip2 install -r requirements.txt

البدء

• python python_exe_unpack.py -i [malware.exe]

  • pyinstaller
    • سيتم إنشاء مجلد باسم الملف الأصلي مضافاً إليه "_extracted". على سبيل المثال: "malware.exe_extracted".
    • ملف بايثون الرئيسي الذي يحتوي على المنطق سيكون عادةً الملف بدون أي امتداد (في المجلد المضاف إليه "_extracted"). في المثال التالي، "hello" هو الملف الذي يحتوي على منطق بايثون الرئيسي:
      -rw-rw-r-- 1 testuser testuser 70K Nov 14 13:08 bz2.pyd
-rw-rw-r-- 1 testuser testuser 993K Nov 14 13:08 _hashlib.pyd
-rw-rw-r-- 1 testuser testuser 111 Nov 14 13:08 hello
-rw-rw-r-- 1 testuser testuser 1009 Nov 14 13:08 hello.exe.manifest
-rw-rw-r-- 1 testuser testuser 1.1K Nov 14 13:08 Microsoft.VC90.CRT.manifest
-rw-rw-r-- 1 testuser testuser 220K Nov 14 13:08 msvcm90.dll
-rw-rw-r-- 1 testuser testuser 557K Nov 14 13:08 msvcp90.dll
-rw-rw-r-- 1 testuser testuser 638K Nov 14 13:08 msvcr90.dll
-rw-rw-r-- 1 testuser testuser 628K Nov 14 13:08 out00-PYZ.pyz
drwxrwxr-x 2 testuser testuser 12K Nov 14 13:08 out00-PYZ.pyz_extracted
-rw-rw-r-- 1 testuser testuser 5.2K Nov 14 13:08 pyiboot01_bootstrap
-rw-rw-r-- 1 testuser testuser 2.5K Nov 14 13:08 pyimod01_os_path
-rw-rw-r-- 1 testuser testuser 12K Nov 14 13:08 pyimod02_archive
-rw-rw-r-- 1 testuser testuser 22K Nov 14 13:08 pyimod03_importers
-rw-rw-r-- 1 testuser testuser 0 Nov 14 13:08 pyi-windows-manifest-filename hello.exe.manifest
-rw-rw-r-- 1 testuser testuser 2.6M Nov 14 13:08 python27.dll
-rw-rw-r-- 1 testuser testuser 10K Nov 14 13:08 select.pyd
-rw-rw-r-- 1 testuser testuser 234 Nov 14 13:08 struct
-rw-rw-r-- 1 testuser testuser 671K Nov 14 13:08 unicodedata.pyd
      
    • pyinstaller لديه خيار يمكنه تشفير البايت كود الخاص ببايثون. هذا السكربت سيحاول فك تشفيره وفك ترجمة الكود المفكوك تشفيره.
  • py2exe
    • ستكون نتيجة فك التغليف وفك الترجمة في مجلد "unpacked" أو في الموقع الذي تحدده.
    • إذا ظهر خطأ مثل هذا "Error in unpacking the exe. Probably due to version incompability (exe created using python 2 and run this script with python 3)"، حاول ضبط إصدار بايثون الخاص بك إلى إصدار مختلف عن الذي تستخدمه. مثال: "alias python=python2" أو "alias python=python3"

• python python_exe_unpack.py -p [pyc file]

  • في المثال أعلاه، أحياناً ملف بايثون الذي يحتوي على المنطق الرئيسي لن يكون بالتنسيق الذي يقبله uncompyle6 (نقص أرقام السحر الخاصة ببايثون). الأمر أعلاه سيضيف أرقام السحر في البداية ويقوم بفك الترجمة (إذا كانت أرقام السحر مضافة بالفعل فلن يضيفها وسيكتفي بفك الترجمة).

الاعتمادات

• Extreme Coders لسكربت pyinstxtractor.py الخاص بهم للمساعدة في فك تغليف الملفات التنفيذية الخاصة بـ pyinstaller.
• Extreme Coders لتعليماتهم حول كيفية فك تشفير البايت كود المشفر الخاص ببايثون: https://0xec.blogspot.sg/2017/02/extracting-encrypted-pyinstaller.html
• unpy2exe
• uncompyle6