PETriage

Ein schnelles, plattformübergreifendes PE (Portable Executable) Oberflächenanalyse-Tool für Malware-Triage, geschrieben in Rust. Entwickelt für Analysten, die praktische PE-Triage auf Linux, macOS und Windows benötigen, ohne auf einen Windows-only Workflow angewiesen zu sein.

Ehemals readpe (umbenannt, um Namenskonflikte mit bestehenden Tools zu vermeiden).

Konzept

• Statisch-only – Die PE wird nie geladen oder ausgeführt. Sicher für Malware-Triage.
• CLI-first – Leichter Standard-Workflow geeignet für Batch-Analyse und Automatisierung.
• Zusammensetzbar – JSON/NDJSON-Ausgabe zur Weiterleitung an jq, SIEMs und Scripting-Pipelines.
• Offline – Keine Netzwerkaufrufe. Geeignet für vollständig abgeschottete Umgebungen.

Schnittstellen

Schnellinstallation

Standard-CLI-Build:

cargo install petriage

Für TUI- und GUI-Builds aus dem Quellcode mit Feature-Flags bauen.

Oder aus dem Quellcode bauen:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

Siehe docs/installation.md für GUI-/TUI-Build-Abhängigkeiten und Cross-Kompilierung.

Schnellverwendung

petriage <file.exe>              # Surface analysis (all except strings)
petriage <file.exe> -a           # All information including strings
petriage <file.exe> -H           # Headers only
petriage <file.exe> -i           # Imports only
petriage <file.exe> --hashes     # File hashes only
petriage <file.exe> --json       # JSON output
petriage --batch <dir> --ndjson  # Batch-analyze all PEs in a directory
petriage <file.exe> --fail-on warning  # Exit code 3 if anomalies meet the selected threshold
petriage <file.exe> --strip-overlay stripped.exe  # Save PE without overlay
petriage <file.exe> --carve-overlay overlay.bin   # Extract overlay data

petriage -x <file.exe>           # TUI hex viewer
petriage-gui                     # GUI (file dialog)
petriage-gui <file.exe>          # GUI (open file directly)

Siehe docs/usage.md für vollständige CLI-Optionen, jq-Rezepte, TUI-/GUI-Details und Beispielausgabe.

Hauptfunktionen

• 25 Anomalie-Regeln – Packing, Code-Injection, Zeitstempel-Manipulation, strukturelle Anomalien, OPSEC-Leaks, Rich-Header-Manipulation, Export Directory-Anomalien
• OPSEC-Analyse – PDB-Pfade, Credential-Muster, Endpunkterkennung, CI/CD-Pfad-Hinweise, Quellpfad-Benutzernamen-Leaks
• Build-Fingerprinting – .NET / Go / Rust / MSVC / MinGW-Erkennung mit Packer-Identifikation (UPX, Themida, VMProtect, NSIS, usw.)
• Overlay-Carve/Strip – Overlay-Daten extrahieren oder PE ohne Overlay speichern (CLI und GUI)
• Export Directory-Analyse – DLL-Name, Zeitstempel, Funktionsanzahlen mit anomaler Zeitstempelerkennung
• Semantische Header-Bearbeitung (GUI) – Machine/Subsystem-Dropdowns, menschenlesbare Zeitstempel, DllCharacteristics-Flag-Kontrollkästchen
• Hervorhebung nicht-standardmäßiger Abschnitte – Gelbe Hervorhebung für ungewöhnliche Abschnittsnamen in CLI und GUI

Bildschirmfotos

CLI

GUI

Header (Strukturansicht + Editor)

Header Editor (Inline-Bearbeitung)

Exit-Codes

Dokumentation

• Übersicht & Funktionen
• Installation
• Verwendung & Beispiele
• Übersicht vorhandener Tools
• Zukünftige Arbeit

Lizenz

MIT OR Apache-2.0