machofile

machofile es un módulo para analizar archivos binarios Mach-O, con un enfoque en el análisis de malware y la ingeniería inversa.

Inspirado en el pefile de Ero Carrera, este módulo pretende ofrecer capacidades similares pero para binarios Mach-O. El material de referencia y la documentación utilizados para adquirir el conocimiento del formato de archivo, las estructuras básicas y las constantes se toman de los recursos enumerados a continuación.

machofile es autónomo. El módulo no tiene dependencias; es independiente del endianness; y funciona en macOS, Windows y Linux.

Aunque existen otros módulos de análisis de Mach-O, las motivaciones para desarrollar este son:

• ante todo, para mí fue una excelente manera de profundizar y aprender más sobre el formato y las estructuras de Mach-O
• proporcionar una forma sencilla de analizar archivos Mach-O para su análisis
• no depender de módulos externos (p. ej. lief, macholib, macho, etc.), ya que todo se extrae directamente del archivo y está en Python puro.

Avísame si lo pruebas o encuentras errores, pero también... sé amable ;) el código se optimizará y se añadirán más funciones.

Características actuales:

• Analizar el encabezado Mach-O
• Analizar los comandos de carga (load commands)
• Analizar los segmentos del archivo
• Analizar los comandos dylib
• Analizar la lista de dylibs
• Extraer funciones importadas
• Extraer símbolos exportados
• Hashes: hash de dylib, hash de importación, hash de exportación, hash de entitlements, symhash
• Cálculo de entropía de segmentos
• Extraer el punto de entrada
• Extraer el UUID
• Extraer información de versión
• Analizar información básica de la firma de código
• Soporte para binarios FAT (universales)
• Volcar slices individuales de Mach-O desde binarios FAT (universales)
• Soporte de salida JSON (tanto en formato legible como en formato crudo)

Nota: por ahora, esto se ha probado inicialmente con muestras Mach-O x86, x86_64, arm64 y arm64e.

Próximas funciones a implementar (en orden aleatorio):

• Cadenas incrustadas
• Atributos de archivo
• indicador para bibliotecas sospechosas
• Detección de empaquetadores
• ...

Uso y ejemplos

Puedes usarlo desde la línea de comandos o importarlo como módulo en tu código Python, y llamar a cada función individualmente para analizar solo las estructuras que te interesan. Puedes instalarlo directamente mediante pip y usarlo programáticamente o desde la línea de comandos, o usarlo como script independiente.

pip install machofile

Versión del módulo

Espera que se le proporcione una ruta de archivo o un búfer de datos para analizar.

import machofile
macho = machofile.UniversalMachO(file_path='/path/to/machobinary')
macho.parse()

Si el búfer de datos ya está disponible, se puede proporcionar directamente con:

import machofile
with open(file_path, 'rb') as f:
    data = f.read()
macho = machofile.UniversalMachO(data=data)
macho.parse()

Para un uso detallado de la API, consulta la página de documentación de la API.

Versión de línea de comandos

También puedes usar machofile directamente como herramienta CLI si lo instalaste mediante pip, o como herramienta independiente con python3 machofile.py. Todas las funciones disponibles como módulo también lo están como herramienta de línea de comandos.

% machofile -h
usage: machofile [-h] -f FILE [-j] [--raw] [-a] [-d] [-e] [-ep] [-g]
                    [-hdr] [-i] [-l] [-seg] [-sig] [-sim] [-u] [-v]
                    [--arch ARCH] [--dump-dir DUMP_DIR]

Parse Mach-O binary structures. (version 2026.02.04)

options:
  -h, --help          show this help message and exit

required arguments:
  -f, --file FILE     Path to the file to be parsed

output format options:
  -j, --json          Output data in JSON format
  --raw               Output raw values in JSON format (use with -j/--json)

data extraction options:
  -a, --all           Print all info about the file
  -d, --dylib         Print Dylib Command Table and Dylib list
  -e, --exports       Print exported symbols
  -ep, --entry-point  Print entry point information
  -g, --general_info  Print general info about the file
  -hdr, --header      Print Mach-O header info
  -i, --imports       Print imported symbols
  -l, --load_cmd_t    Print Load Command Table and Command list
  -seg, --segments    Print File Segments info
  -sig, --signature   Print code signature and entitlements information
  -sim, --similarity  Print similarity hashes
  -u, --uuid          Print UUID
  -v, --version       Print version information

filter options:
  --arch ARCH         Show info for specific architecture only (for Universal binaries)

dump options:
  --dump-dir DUMP_DIR Dump individual Mach-O slices from a FAT/Universal binary
                      to the specified directory

Ejemplo de salida:

% machofile -a -f b4f68a58658ceceb368520dafc35b270272ac27b8890d5b3ff0b968170471e2b

[General File Info]
        Filename:         b4f68a58658ceceb368520dafc35b270272ac27b8890d5b3ff0b968170471e2b
        Filesize:         54240
        MD5:              20ffe440e4f557b9e03855b5da2b3c9c
        SHA1:             1bf61ecad8568a774f9fba726a254a9603d09f33
        SHA256:           b4f68a58658ceceb368520dafc35b270272ac27b8890d5b3ff0b968170471e2b

[Mach-O Header]
        magic:            MH_MAGIC (32-bit), 0xFEEDFACE
        cputype:          Intel i386
        cpusubtype:       X86_ALL
        filetype:         EXECUTE
        ncmds:            13
        sizeofcmds:       1180
        flags:            NOUNDEFS, DYLDLINK, TWOLEVEL

[Load Cmd table]
        {'cmd': 'LC_SEGMENT', 'cmdsize': 56}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 192}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 328}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 192}
        {'cmd': 'LC_SEGMENT', 'cmdsize': 56}
        {'cmd': 'LC_SYMTAB', 'cmdsize': 24}
        {'cmd': 'LC_DYSYMTAB', 'cmdsize': 80}
        {'cmd': 'LC_LOAD_DYLINKER', 'cmdsize': 28}
        {'cmd': 'LC_UUID', 'cmdsize': 24}
        {'cmd': 'LC_UNIXTHREAD', 'cmdsize': 80}
        {'cmd': 'LC_LOAD_DYLIB', 'cmdsize': 52}
        {'cmd': 'LC_LOAD_DYLIB', 'cmdsize': 52}
        {'cmd': 'LC_CODE_SIGNATURE', 'cmdsize': 16}

[Load Commands]
        LC_CODE_SIGNATURE
        LC_DYSYMTAB
        LC_LOAD_DYLIB
        LC_LOAD_DYLINKER
        LC_SEGMENT
        LC_SYMTAB
        LC_UNIXTHREAD
        LC_UUID

[File Segments]
        SEGNAME    VADDR VSIZE OFFSET SIZE  MAX_VM_PROTECTION INITIAL_VM_PROTECTION NSECTS FLAGS ENTROPY            
        ------------------------------------------------------------------------------------------------------------
        __PAGEZERO 0     4096  0      0     0                 0                     0      0     0.0                
        __TEXT     4096  28672 0      28672 7                 5                     2      0     5.080680410706916  
        __DATA     32768 4096  28672  4096  7                 3                     4      0     0.1261649636134924 
        __IMPORT   36864 4096  32768  4096  7                 7                     2      0     0.21493796627555234
        __LINKEDIT 40960 20480 36864  17376 7                 1                     0      0     6.637864516225949  

[Dylib Commands]
        DYLIB_NAME_OFFSET DYLIB_TIMESTAMP DYLIB_CURRENT_VERSION DYLIB_COMPAT_VERSION DYLIB_NAME                   
        ----------------------------------------------------------------------------------------------------------
        24                2               65536                 65536                b'/usr/lib/libgcc_s.1.dylib' 
        24                2               7274759               65536                b'/usr/lib/libSystem.B.dylib'