entropystrip

Una herramienta CLI rápida para el triaje de PE de Windows, el análisis de entropía por ventana deslizante y la detección de cargas útiles ocultas en loaders y crypters.

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

¿Por qué EntropyStrip?

La mayoría de las herramientas de triaje rápido calculan la entropía de Shannon sobre secciones PE completas o archivos enteros. Los atacantes explotan este efecto de promediado en los cargadores modernos:

• Dilución por tamaño: Ocultar 20 KB de shellcode cifrado dentro de una sección .rdata de 1 MB rellenada con ceros mantiene la entropía de toda la sección por debajo de 5.5.
• Dilución por relleno: Intercalar texto cifrado con NOP sleds (0x90) o delimitadores repetidos reduce la puntuación a niveles de código benigno.
• Preparación de cadenas: Convertir shellcode en matrices de UUID (UuidFromStringA) o direcciones IPv4 (RtlIpv4StringToAddressA) mantiene la entropía en disco alrededor de 4.0 hasta el reensamblado en tiempo de ejecución.

EntropyStrip aborda estos puntos ciegos con análisis a nivel de subsección y comprobaciones estructurales.

---

Capacidades clave

• Inspección por ventana deslizante: Escanea secciones y overlays en ventanas de 1024 y 256 bytes con paso adaptativo para detectar payloads concentrados independientemente del tamaño total de la sección.
• Comprobaciones de dilución y Chi-Cuadrado: Evalúa la distribución de bytes modal y la uniformidad de opcodes para señalar texto cifrado rellenado.
• Detección de preparación en memoria: Identifica las primitivas de preparación UuidFromString y RtlIpv4StringToAddress y grupos de cadenas UUID con formato.
• Motor de firmas YARA: Integra reglas de amenazas predeterminadas (beacons de Cobalt Strike, eliminación de copias de sombra por ransomware, cargadores reflexivos, cazadores de huevos de shellcode) y reglas personalizadas mediante --yara [PATH]. Incluye un escáner de respaldo en Python puro para ejecución sin dependencias.
• Árbol profundo de recursos PE (.rsrc): Inspecciona recursivamente las entradas de recursos, señala ejecutables PE/MZ incrustados (esteganografía de recursos / T1027) y extrae payloads cifrados RT_RCDATA.
• Tabla de exportaciones (EAT) y triaje de DLL side-loading: Detecta el proxying/forwarding de DLL y señala binarios que se hacen pasar por DLL de sistema de Windows conocidas (T1574.002).
• Inteligencia de amenazas de MalwareBazaar: Consulta opcional de reputación de hashes mediante --bazaar para clasificar familias de malware, etiquetas de la comunidad y tasas de detección de VirusTotal sin filtrar telemetría forense por defecto.
• Fuzzy hashing en Python puro (SSDEEP/CTPH) y agrupación de campañas: Calcula hashes piecewise rodantes sin dependencias de C y agrupa binarios relacionados en clústeres de campañas automatizados durante el triaje de directorios.
• Permisos de memoria: Señala código automodificable en secciones marcadas como Writable y Executable (W+X).
• Verificación de Authenticode e instaladores: Valida los límites del directorio WIN_CERTIFICATE del PE y las cabeceras NSIS 0xdeadbeef para que el software firmado y los instaladores no reciban puntuaciones falsas.
• Inspección de Rich Header: Detecta Rich Headers de MSVC eliminados o inválidos en binarios nativos.
• Extracción de payloads: Use --dump para extraer búferes sospechosos directamente a disco para Ghidra o x64dbg.
• Triaje de directorios: Pase una ruta de carpeta para escanear directorios y clasificar binarios en una tabla de clasificación de triaje de incidentes.

---

Instalación

Requiere Python 3.8+ en Windows, Linux o macOS.

pip install entropystrip

O instalar desde el código fuente:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

Uso

usage: entropystrip [-h] [-v] [-r] [--dump] [--deep] [-i] [--install]
                    [--uninstall] [--html HTML] [--json JSON]
                    [--yara [RULE_PATH]] [--bazaar] [--bazaar-key KEY]
                    [target]

EntropyStrip: PE De-obfuscator, Shannon Entropy Radar, and Incident Triage Engine

positional arguments:
  target              Path to Windows executable (.exe / .dll) or directory

options:
  -h, --help          show this help message and exit
  -v, --version       Show program's version number and exit
  -r, --recursive     Recursively scan subdirectories
  --dump              Carve high-entropy payloads to extracted_payloads/
  --deep              Deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  -i, --interactive   Launch interactive triage wizard
  --install           Install EntropyStrip globally to Windows PATH
  --uninstall         Uninstall EntropyStrip from Windows PATH
  --html HTML         Path to write standalone HTML report
  --json JSON         Path to write machine-readable JSON telemetry
  --yara [RULE_PATH]  Scan with YARA rules (uses bundled threats.yar by default, or custom file/dir)
  --bazaar            Query MalwareBazaar (abuse.ch) for sample hash intelligence and signatures
  --bazaar-key KEY    MalwareBazaar API Auth-Key (overrides MALWAREBAZAAR_API_KEY environment variable)

Ejemplos

Analizar un único binario con escaneo YARA:

entropystrip target.exe --yara

Escanear con reglas YARA personalizadas y consultar la inteligencia de amenazas de MalwareBazaar:

entropystrip suspicious.exe --yara my_rules.yar --bazaar

Triaje forense profundo con mapeo de MITRE ATT&CK y desensamblado:

entropystrip suspicious.exe --deep

Extraer búferes de payload ocultos y recursos incrustados:

entropystrip suspicious.exe --dump

Los payloads extraídos se escriben en extracted_payloads/payload_<sha256>_sec<index>_<section>.bin.

Exportar un informe HTML independiente:

entropystrip sample.exe --html report.html

Clasificar un directorio completo con agrupación automatizada de campañas:

entropystrip "C:\IncidentTriage" -r --html incident_report.html

---

Referencia de entropía

La entropía de Shannon mide la densidad de información de 0.00 a 8.00 bits por byte:

Rango de entropía	Contenido típico	Notas
0.00 - 2.00	Relleno de ceros, tablas dispersas	Relleno de alineación, búferes no inicializados
2.00 - 5.50	ASCII estándar, configuraciones	Metadatos de la aplicación, cadenas legibles
5.50 - 6.60	Código máquina nativo compilado	Instrucciones estándar x86/x64 (.text)
6.60 - 7.30	Recursos comprimidos	Mapas de bits, iconos, flujos zlib/deflate
7.40 - 8.00	Texto cifrado criptográfico	Cargas útiles cifradas o shellcode empaquetado

---

Licencia

Licencia MIT. Consulte LICENSE para más detalles.