PETriage

Un outil d'analyse de surface PE (Portable Executable) rapide et multiplateforme pour le triage de codes malveillants, écrit en Rust. Conçu pour les analystes qui ont besoin d'un triage PE pratique sur Linux, macOS et Windows sans dépendre d'un workflow exclusivement Windows.

Anciennement readpe (renommé pour éviter des collisions de noms avec des outils existants).

Concept

• Statique uniquement -- Le PE n'est jamais chargé ni exécuté. Sûr pour le triage de codes malveillants.
• CLI en premier -- Workflow par défaut léger adapté à l'analyse par lots et à l'automatisation.
• Composable -- Sortie JSON/NDJSON pour l'utilisation avec jq, les SIEMs et les pipelines de scripts.
• Hors ligne -- Aucun appel réseau. Adapté aux environnements totalement isolés (air-gapped).

Interfaces

Installation rapide

Construction CLI par défaut :

cargo install petriage

Pour les constructions TUI et GUI, compilez à partir des sources avec les indicateurs de fonctionnalités.

Ou compilez à partir des sources :

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

Consultez docs/installation.md pour les dépendances de construction GUI/TUI et la compilation croisée.

Utilisation rapide

petriage <file.exe>              # Analyse de surface (tout sauf les chaînes)
petriage <file.exe> -a           # Toutes les informations, y compris les chaînes
petriage <file.exe> -H           # En-têtes uniquement
petriage <file.exe> -i           # Importations uniquement
petriage <file.exe> --hashes     # Empreintes de fichier uniquement
petriage <file.exe> --json       # Sortie JSON
petriage --batch <dir> --ndjson  # Analyser tous les PE d'un répertoire par lots
petriage <file.exe> --fail-on warning  # Code de sortie 3 si des anomalies atteignent le seuil sélectionné
petriage <file.exe> --strip-overlay stripped.exe  # Enregistrer le PE sans overlay
petriage <file.exe> --carve-overlay overlay.bin   # Extraire les données d'overlay

petriage -x <file.exe>           # Visionneuse hexadécimale TUI
petriage-gui                     # GUI (boîte de dialogue de fichier)
petriage-gui <file.exe>          # GUI (ouvrir le fichier directement)

Consultez docs/usage.md pour toutes les options CLI, les recettes jq, les détails TUI/GUI et des exemples de sortie.

Fonctionnalités clés

• 25 règles d'anomalies — Emballage, injection de code, manipulation d'horodatage, anomalies structurelles, fuites OPSEC, falsification de l'en-tête Rich, anomalies du répertoire d'exportation
• Analyse OPSEC — Chemins PDB, motifs d'identifiants, détection de points de terminaison, indices de chemins CI/CD, fuites de noms d'utilisateur dans les chemins source
• Empreinte de compilation — Détection .NET / Go / Rust / MSVC / MinGW avec identification de packer (UPX, Themida, VMProtect, NSIS, etc.)
• Extraction/suppression d'overlay — Extraire les données d'overlay ou enregistrer le PE sans overlay (CLI et GUI)
• Analyse du répertoire d'exportation — Nom de la DLL, horodatage, nombres de fonctions avec détection d'horodatage anormal
• Édition sémantique des en-têtes (GUI) — Listes déroulantes Machine/Sous-système, horodatages lisibles, cases à cocher des indicateurs DllCharacteristics
• Mise en évidence des sections non standard — Surlignage jaune pour les noms de sections inhabituels dans la CLI et la GUI

Captures d'écran

CLI

GUI

En-têtes (Vue structure + Éditeur)

Éditeur d'en-tête (Édition en ligne)

Codes de sortie

Documentation

• Aperçu et fonctionnalités
• Installation
• Utilisation et exemples
• Étude des outils existants
• Travaux futurs

Licence

MIT OU Apache-2.0