PETriage

Una herramienta rápida y multiplataforma de análisis superficial de PE (Portable Executable) para el triaje de malware, escrita en Rust. Diseñada para analistas que necesitan un triaje práctico de PE en Linux, macOS y Windows sin depender de un flujo de trabajo exclusivo de Windows.

Anteriormente readpe (renombrado para evitar colisiones de nombres con herramientas existentes).

Concepto

• Solo estático -- El PE nunca se carga ni se ejecuta. Seguro para el triaje de malware.
• Prioridad CLI -- Flujo de trabajo ligero por defecto adecuado para análisis por lotes y automatización.
• Componible -- Salida JSON/NDJSON para canalizar a jq, SIEM y canalizaciones de scripting.
• Sin conexión -- Sin llamadas de red. Adecuado para entornos completamente aislados.

Interfaces

Interfaz	Compilación	Descripción
CLI	cargo build --release	Flujo de trabajo por defecto para triaje de PE, salida estructurada, detección de anomalías y automatización por lotes.
TUI	cargo build --release --features tui	Visor hexadecimal interactivo con navegación por regiones PE.
GUI	cargo build --release --features gui	Análisis con pestañas, arrastrar y soltar, filtros de importaciones/cadenas, codificación por colores de entropía, editor de cabeceras PE, extracción/eliminación de superposición.

Instalación rápida

Compilación CLI por defecto:

cargo install petriage

Para compilaciones TUI y GUI, compilar desde el código fuente con indicadores de características.

O compilar desde el código fuente:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

Consulte docs/installation.md para dependencias de compilación GUI/TUI y compilación cruzada.

Uso rápido

petriage <file.exe>              # Análisis superficial (todo excepto cadenas)
petriage <file.exe> -a           # Toda la información incluyendo cadenas
petriage <file.exe> -H           # Solo cabeceras
petriage <file.exe> -i           # Solo importaciones
petriage <file.exe> --hashes     # Solo hashes del archivo
petriage <file.exe> --json       # Salida JSON
petriage --batch <dir> --ndjson  # Analizar por lotes todos los PE en un directorio
petriage <file.exe> --fail-on warning  # Código de salida 3 si las anomalías superan el umbral seleccionado
petriage <file.exe> --strip-overlay stripped.exe  # Guardar PE sin superposición
petriage <file.exe> --carve-overlay overlay.bin   # Extraer datos de superposición

petriage -x <file.exe>           # Visor hexadecimal TUI
petriage-gui                     # GUI (diálogo de archivo)
petriage-gui <file.exe>          # GUI (abrir archivo directamente)

Consulte docs/usage.md para opciones completas de CLI, recetas de jq, detalles de TUI/GUI y ejemplos de salida.

Características principales

• 25 reglas de anomalías -- Empaquetado, inyección de código, manipulación de marcas de tiempo, anomalías estructurales, fugas de OPSEC, manipulación de Rich Header, anomalías del Directorio de Exportación
• Análisis OPSEC -- Rutas PDB, patrones de credenciales, detección de endpoints, pistas de rutas CI/CD, filtraciones de nombres de usuario en rutas de origen
• Huella digital de compilación -- Detección de .NET / Go / Rust / MSVC / MinGW con identificación de empaquetadores (UPX, Themida, VMProtect, NSIS, etc.)
• Extracción/eliminación de superposición -- Extraer datos de superposición o guardar PE sin superposición (CLI y GUI)
• Análisis del Directorio de Exportación -- Nombre de DLL, marca de tiempo, recuentos de funciones con detección de marca de tiempo anómala
• Edición semántica de cabeceras (GUI) -- Desplegables de Máquina/Subsistema, marcas de tiempo legibles, casillas de verificación para banderas DllCharacteristics
• Resaltado de secciones no estándar -- Resaltado amarillo para nombres de sección inusuales en CLI y GUI

Capturas de pantalla

CLI

GUI

Cabeceras (Vista de estructura + Editor)

Editor de cabeceras (Edición en línea)

Códigos de salida

Código	Significado
0	Éxito
1	Error de entrada (archivo no encontrado, fallo de lectura, PE inválido)
2	Error de salida (fallo de escritura de archivo)
3	Umbral de anomalía superado (--fail-on)

Documentación

• Descripción general y características
• Instalación
• Uso y ejemplos
• Revisión de herramientas existentes
• Trabajo futuro

Licencia

MIT OR Apache-2.0