entropystrip

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

Qué hace

La mayoría del malware moderno se oculta detrás de empaquetadores, cargadores ofuscados o stagers cifrados diseñados para evadir escáneres ingenuos de entropía de archivo completo. En lugar de depender de firmas de bytes estáticas, entropystrip evalúa:

1. Radar de subsecciones con ventana deslizante: Ventanas deslizantes de doble resolución (1024 bytes y 256 bytes) detectan cargas útiles criptográficas concentradas ocultas dentro de grandes secciones o superposiciones de baja entropía.
2. Defensa contra dilución generalizada y Chi-Cuadrado ($\chi^2$): Derrota evasiones por relleno (nulos intercalados, NOP sleds) mediante el análisis de distribuciones de bytes modales y uniformidad estadística.
3. Primitivas de staging basadas en cadenas: Marca primitivas de staging en memoria (UuidFromString, RtlIpv4StringToAddress) y detecta clústeres de shellcode con formato UUID.
4. Permisos de memoria (W+X): Identifica secciones marcadas simultáneamente como Writable y Executable (IMAGE_SCN_MEM_WRITE y IMAGE_SCN_MEM_EXECUTE).
5. Radar de superposición y certificados: Mide bytes finales no mapeados y valida estructuralmente las tablas Authenticode WIN_CERTIFICATE para distinguir certificados reales de droppers.
6. Mapeo MITRE ATT&CK: Correlaciona automáticamente los hallazgos con IDs de técnicas adversarias (T1027, T1027.001, T1027.002, T1055, T1497, T1129).
7. Lista blanca de instaladores: Valida encabezados estructurales NSIS (0xdeadbeef) y de instalación para eliminar falsos positivos en software legítimo.
8. Extracción automatizada de cargas útiles: --dump extrae secciones y superposiciones sospechosas directamente a disco para desofuscación offline.
9. Triaje de incidentes en directorios: Recorre directorios y clasifica todos los binarios en una tabla de clasificación de triaje de incidentes.

---

Instalación

Requisitos: Python 3.8+ en Windows, Linux o macOS.

pip install entropystrip

O instalar directamente desde el código fuente:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

---

Uso

usage: entropystrip [-h] [-r] [--dump] [--deep] [--html HTML] [--json JSON] target

EntropyStrip: PE De-obfuscator & Triage Engine

positional arguments:
  target         Path to Windows executable (.exe / .dll) or directory to scan

options:
  -h, --help     show this help message and exit
  -r, --recursive
                 recursively scan subdirectories if target is a folder
  --dump         carve and write high-entropy payloads to extracted_payloads/
  --deep         deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  --html HTML    write minimalist HTML report to specified path
  --json JSON    write machine-readable JSON telemetry to specified path

Ejemplos

Analizar un único binario:

python main.py target.exe

Triaje forense profundo con mapeo MITRE ATT&CK y desensamblado:

python main.py suspicious.exe --deep

Analizar y extraer búferes de carga útil ocultos:

python main.py suspicious.exe --dump

Las cargas útiles extraídas se escriben en extracted_payloads/<target>_<section>.bin.

Exportar un informe HTML independiente:

python main.py sample.exe --html report.html

Triaje de un directorio completo de archivos desconocidos:

python main.py "C:\IncidentTriage" -r

---

Referencia de escala de entropía

La entropía de Shannon mide la densidad de información de 0.00 a 8.00 bits por byte:

$$H(X) = -\sum_{i=0}^{255} P(x_i) \log_2 P(x_i)$$

Rango de entropía	Contenido esperado	Notas
0.00 - 2.00	Relleno de ceros, tablas dispersas	Común en datos no inicializados o relleno de alineación
2.00 - 5.50	ASCII estándar, configuraciones	Metadatos de aplicación normales, cadenas
5.50 - 6.60	Código máquina compilado nativo	Instrucciones x86/x64 estándar (.text)
6.60 - 7.30	Recursos comprimidos	Bitmaps, iconos, flujos zlib/deflate
7.40 - 8.00	Texto cifrado criptográfico	Cargas útiles cifradas AES/RC4 o shellcode empaquetado

---

Licencia

Licencia MIT. Consulte LICENSE para más detalles.