entropystrip

Ein schnelles CLI-Tool für Windows-PE-Triage, Entropieanalyse mit gleitendem Fenster und die Erkennung versteckter Payloads in Loadern und Cryptern.

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

Warum EntropyStrip?

Die meisten Schnell-Triage-Tools berechnen die Shannon-Entropie über ganze PE-Sektionen oder ganze Dateien. Angreifer nutzen diesen Mittelungseffekt in modernen Loadern aus:

• Verdünnung durch Größe: Das Verstecken von 20 KB verschlüsseltem Shellcode in einer 1 MB großen .rdata-Sektion, die mit Nullen aufgefüllt ist, hält die Entropie über die gesamte Sektion unter 5,5.
• Verdünnung durch Padding: Das Verschachteln von Chiffretext mit NOP-Sleds (0x90) oder sich wiederholenden Trennzeichen drückt den Wert auf das Niveau von harmlosem Code.
• String-Staging: Die Umwandlung von Shellcode in UUID-Arrays (UuidFromStringA) oder IPv4-Adressen (RtlIpv4StringToAddressA) hält die Entropie auf der Festplatte bei etwa 4,0, bis die Neuzusammensetzung zur Laufzeit erfolgt.

EntropyStrip adressiert diese blinden Flecken mit Sub-Sektions-Analyse und strukturellen Prüfungen.

---

Hauptfunktionen

• Sliding-Window-Inspektion: Durchsucht Sektionen und Overlays in 1024-Byte- und 256-Byte-Fenstern mit adaptiver Schrittweite, um konzentrierte Payloads unabhängig von der Gesamtgröße der Sektion zu erkennen.
• Verdünnungs- und Chi-Quadrat-Prüfungen: Bewertet die modale Byteverteilung und die Opcode-Gleichmäßigkeit, um aufgefüllten Chiffretext zu kennzeichnen.
• Erkennung von Memory-Staging: Identifiziert Staging-Primitive UuidFromString und RtlIpv4StringToAddress sowie Cluster formatierter UUID-Strings.
• YARA-Signatur-Engine: Integriert Standard-Bedrohungsregeln (Cobalt Strike Beacons, Löschung von Ransomware-Schattenkopien, reflektive Loader, Shellcode-Egg-Hunter) und benutzerdefinierte Regeln über --yara [PATH]. Enthält einen reinen Python-Fallback-Scanner für die Ausführung ohne Abhängigkeiten.
• Tiefer PE-Ressourcenbaum (.rsrc): Untersucht Ressourceneinträge rekursiv, kennzeichnet eingebettete PE/MZ-Executables (Ressourcen-Steganografie / T1027) und extrahiert verschlüsselte RT_RCDATA-Payloads.
• Exporttabelle (EAT) & DLL-Side-Loading-Triage: Erkennt DLL-Proxying/Forwarding und kennzeichnet Binärdateien, die sich als bekannte Windows-System-DLLs ausgeben (T1574.002).
• MalwareBazaar-Bedrohungsintelligenz: Optionaler Hash-Reputationsabgleich über --bazaar zur Klassifizierung von Malware-Familien, Community-Tags und VirusTotal-Erkennungsraten, ohne standardmäßig forensische Telemetrie preiszugeben.
• Reines Python-Fuzzy-Hashing (SSDEEP/CTPH) & Kampagnen-Clustering: Berechnet rollierende stückweise Hashes ohne C-Abhängigkeiten und gruppiert verwandte Binärdateien während der Verzeichnis-Triage automatisch in Kampagnen-Cluster.
• Speicherberechtigungen: Kennzeichnet selbstmodifizierenden Code in Sektionen, die sowohl als beschreibbar als auch als ausführbar (W+X) markiert sind.
• Authenticode- und Installer-Verifikation: Validiert die Grenzen des PE-Verzeichnisses WIN_CERTIFICATE und NSIS-Header 0xdeadbeef, damit signierte Software und Installer nicht fälschlicherweise bewertet werden.
• Rich-Header-Inspektion: Erkennt entfernte oder ungültige MSVC-Rich-Header in nativen Binärdateien.
• Payload-Extraktion: Verwenden Sie --dump, um verdächtige Puffer direkt auf die Festplatte für Ghidra oder x64dbg zu extrahieren.
• Verzeichnis-Triage: Übergeben Sie einen Ordnerpfad, um Verzeichnisse zu scannen und Binärdateien in einer Rangliste für die Incident-Triage zu bewerten.

---

Installation

Erfordert Python 3.8+ unter Windows, Linux oder macOS.

pip install entropystrip

Oder aus dem Quellcode installieren:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

Verwendung

usage: entropystrip [-h] [-v] [-r] [--dump] [--deep] [-i] [--install]
                    [--uninstall] [--html HTML] [--json JSON]
                    [--yara [RULE_PATH]] [--bazaar] [--bazaar-key KEY]
                    [target]

EntropyStrip: PE De-obfuscator, Shannon Entropy Radar, and Incident Triage Engine

positional arguments:
  target              Path to Windows executable (.exe / .dll) or directory

options:
  -h, --help          show this help message and exit
  -v, --version       Show program's version number and exit
  -r, --recursive     Recursively scan subdirectories
  --dump              Carve high-entropy payloads to extracted_payloads/
  --deep              Deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  -i, --interactive   Launch interactive triage wizard
  --install           Install EntropyStrip globally to Windows PATH
  --uninstall         Uninstall EntropyStrip from Windows PATH
  --html HTML         Path to write standalone HTML report
  --json JSON         Path to write machine-readable JSON telemetry
  --yara [RULE_PATH]  Scan with YARA rules (uses bundled threats.yar by default, or custom file/dir)
  --bazaar            Query MalwareBazaar (abuse.ch) for sample hash intelligence and signatures
  --bazaar-key KEY    MalwareBazaar API Auth-Key (overrides MALWAREBAZAAR_API_KEY environment variable)

Beispiele

Eine einzelne Binärdatei mit YARA-Scanning analysieren:

entropystrip target.exe --yara

Mit benutzerdefinierten YARA-Regeln scannen und MalwareBazaar-Threat-Intel abfragen:

entropystrip suspicious.exe --yara my_rules.yar --bazaar

Tiefgehende forensische Triage mit MITRE-ATT&CK-Zuordnung & Disassemblierung:

entropystrip suspicious.exe --deep

Versteckte Payload-Puffer und eingebettete Ressourcen extrahieren:

entropystrip suspicious.exe --dump

Extrahierte Payloads werden nach extracted_payloads/payload_<sha256>_sec<index>_<section>.bin geschrieben.

Einen eigenständigen HTML-Bericht exportieren:

entropystrip sample.exe --html report.html

Einen gesamten Verzeichnisbestand triagieren mit automatisierter Kampagnen-Clusterbildung:

entropystrip "C:\IncidentTriage" -r --html incident_report.html

---

Entropie-Referenz

Die Shannon-Entropie misst die Informationsdichte von 0,00 bis 8,00 Bit pro Byte:

Entropiebereich	Typischer Inhalt	Hinweise
0.00 - 2.00	Null-Auffüllung, spärliche Tabellen	Ausrichtungsauffüllung, nicht initialisierte Puffer
2.00 - 5.50	Standard-ASCII, Konfigurationen	Anwendungsmetadaten, lesbare Zeichenketten
5.50 - 6.60	Nativ kompilierter Maschinencode	Standard-x86/x64-Instruktionen (.text)
6.60 - 7.30	Komprimierte Assets	Bitmaps, Icons, zlib/deflate-Streams
7.40 - 8.00	Kryptografischer Chiffretext	Verschlüsselte Payloads oder gepackter Shellcode

---

Lizenz

MIT-Lizenz. Siehe LICENSE für Details.