withsecurelabs/python-exe-unpackerUn script utilitaire pour dépaqueter et décompiler les EXE compilés à partir de code python.
Auteur : In Ming Loh ([email protected] - @tantaryu)
Société : Countercept (@countercept)
Site web : https://www.countercept.com
Un script qui aide les chercheurs à dépaqueter et décompiler des exécutables écrits en python. Cependant, pour l'instant, il ne prend en charge que les exécutables créés avec py2exe et pyinstaller.
Ce script assemble plusieurs outils disponibles pour la communauté. Espérons que cela puisse aider les gens dans leur travail quotidien. Plusieurs règles YARA sont disponibles pour déterminer si l'exécutable est écrit en python (Ce script confirme également si l'exécutable est créé avec py2exe ou pyinstaller).
pip2 install --user -r requirements.txtsudo pip2 install -r requirements.txtpython python_exe_unpack.py -i [malware.exe]
-rw-rw-r-- 1 testuser testuser 70K Nov 14 13:08 bz2.pyd-rw-rw-r-- 1 testuser testuser 993K Nov 14 13:08 _hashlib.pyd-rw-rw-r-- 1 testuser testuser 111 Nov 14 13:08 hello-rw-rw-r-- 1 testuser testuser 1009 Nov 14 13:08 hello.exe.manifest-rw-rw-r-- 1 testuser testuser 1.1K Nov 14 13:08 Microsoft.VC90.CRT.manifest-rw-rw-r-- 1 testuser testuser 220K Nov 14 13:08 msvcm90.dll-rw-rw-r-- 1 testuser testuser 557K Nov 14 13:08 msvcp90.dll-rw-rw-r-- 1 testuser testuser 638K Nov 14 13:08 msvcr90.dll-rw-rw-r-- 1 testuser testuser 628K Nov 14 13:08 out00-PYZ.pyzdrwxrwxr-x 2 testuser testuser 12K Nov 14 13:08 out00-PYZ.pyz_extracted-rw-rw-r-- 1 testuser testuser 5.2K Nov 14 13:08 pyiboot01_bootstrap-rw-rw-r-- 1 testuser testuser 2.5K Nov 14 13:08 pyimod01_os_path-rw-rw-r-- 1 testuser testuser 12K Nov 14 13:08 pyimod02_archive-rw-rw-r-- 1 testuser testuser 22K Nov 14 13:08 pyimod03_importers-rw-rw-r-- 1 testuser testuser 0 Nov 14 13:08 pyi-windows-manifest-filename hello.exe.manifest-rw-rw-r-- 1 testuser testuser 2.6M Nov 14 13:08 python27.dll-rw-rw-r-- 1 testuser testuser 10K Nov 14 13:08 select.pyd-rw-rw-r-- 1 testuser testuser 234 Nov 14 13:08 struct-rw-rw-r-- 1 testuser testuser 671K Nov 14 13:08 unicodedata.pydpython python_exe_unpack.py -p [fichier pyc]