entropystrip

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

यह क्या करता है

अधिकांश आधुनिक मैलवेयर पैकर्स, अस्पष्ट लोडर्स, या एन्क्रिप्टेड स्टेजर्स के पीछे छिपा रहता है, जिन्हें सामान्य पूर्ण-फ़ाइल एन्ट्रॉपी स्कैनर्स को चकमा देने के लिए डिज़ाइन किया गया है। स्थिर बाइट हस्ताक्षरों पर निर्भर रहने के बजाय, entropystrip निम्नलिखित का मूल्यांकन करता है:

1. स्लाइडिंग-विंडो सब-सेक्शन रडार: दोहरी-रिज़ॉल्यूशन (1024-बाइट और 256-बाइट) स्लाइडिंग विंडो बड़े कम-एन्ट्रॉपी सेक्शन या ओवरले के भीतर छिपे केंद्रित क्रिप्टोग्राफिक पेलोड का पता लगाती हैं।
2. सामान्यीकृत डाइल्यूशन डिफेंस और ची-स्क्वायर ($\chi^2$): मोडल बाइट वितरण और सांख्यिकीय एकरूपता का विश्लेषण करके पैडिंग इवेज़न (इंटरलीव्ड नल, NOP स्लेड) को विफल करता है।
3. स्ट्रिंग-आधारित स्टेजिंग प्रिमिटिव्स: मेमोरी-स्टेजिंग प्रिमिटिव्स (UuidFromString, RtlIpv4StringToAddress) को फ़्लैग करता है और फ़ॉर्मेटेड UUID शेलकोड क्लस्टर्स का पता लगाता है।
4. मेमोरी अनुमतियाँ (W+X): एक साथ राइटेबल और एक्ज़ीक्यूटेबल के रूप में चिह्नित सेक्शन की पहचान करता है (IMAGE_SCN_MEM_WRITE और IMAGE_SCN_MEM_EXECUTE)।
5. ओवरले और सर्टिफिकेट रडार: अनमैप्ड ट्रेलिंग बाइट्स को मापता है और वास्तविक सर्टिफिकेट को ड्रॉपर्स से अलग करने के लिए WIN_CERTIFICATE Authenticode टेबल्स को संरचनात्मक रूप से मान्य करता है।
6. MITRE ATT&CK मैपिंग: निष्कर्षों को स्वचालित रूप से एडवर्सरी टेक्नीक ID (T1027, T1027.001, T1027.002, T1055, T1497, T1129) से सहसंबंधित करता है।
7. इंस्टॉलर व्हाइटलिस्टिंग: वैध सॉफ़्टवेयर पर गलत पॉज़िटिव को खत्म करने के लिए संरचनात्मक NSIS (0xdeadbeef) और सेटअप हेडर को मान्य करता है।
8. स्वचालित पेलोड कार्विंग: --dump संदिग्ध सेक्शन और ओवरले को ऑफ़लाइन डीऑब्फस्केशन के लिए सीधे डिस्क पर निकालता है।
9. डायरेक्टरी इंसिडेंट ट्रायाज: डायरेक्टरीज़ को वॉक करता है और सभी बाइनरीज़ को इंसिडेंट ट्रायाज लीडरबोर्ड पर रैंक करता है।

---

इंस्टॉलेशन

आवश्यकताएँ: Windows, Linux, या macOS पर Python 3.8+।

pip install entropystrip

या सीधे सोर्स से इंस्टॉल करें:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

---

उपयोग

usage: entropystrip [-h] [-r] [--dump] [--deep] [--html HTML] [--json JSON] target

EntropyStrip: PE De-obfuscator & Triage Engine

positional arguments:
  target         Path to Windows executable (.exe / .dll) or directory to scan

options:
  -h, --help     show this help message and exit
  -r, --recursive
                 recursively scan subdirectories if target is a folder
  --dump         carve and write high-entropy payloads to extracted_payloads/
  --deep         deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  --html HTML    write minimalist HTML report to specified path
  --json JSON    write machine-readable JSON telemetry to specified path

उदाहरण

एकल बाइनरी का विश्लेषण करें:

python main.py target.exe

MITRE ATT&CK मैपिंग और डिसअसेम्बली के साथ गहन फ़ॉरेंसिक ट्रायाज:

python main.py suspicious.exe --deep

विश्लेषण करें और छिपे हुए पेलोड बफ़र्स निकालें:

python main.py suspicious.exe --dump

कार्व्ड पेलोड extracted_payloads/<target>_<section>.bin में लिखे जाते हैं।

स्टैंडअलोन HTML रिपोर्ट निर्यात करें:

python main.py sample.exe --html report.html

अज्ञात फ़ाइलों की पूरी डायरेक्टरी का ट्रायाज करें:

python main.py "C:\IncidentTriage" -r

---

एन्ट्रॉपी स्केल संदर्भ

शैनन एन्ट्रॉपी 0.00 से 8.00 बिट्स प्रति बाइट तक सूचना घनत्व मापती है:

$$H(X) = -\sum_{i=0}^{255} P(x_i) \log_2 P(x_i)$$

एन्ट्रॉपी रेंज	अपेक्षित सामग्री	नोट्स
0.00 - 2.00	ज़ीरो-पैडिंग, विरल टेबल्स	अनइनिशियलाइज़्ड डेटा या अलाइनमेंट पैडिंग में सामान्य
2.00 - 5.50	मानक ASCII, कॉन्फ़िगरेशन	सामान्य एप्लिकेशन मेटाडेटा, स्ट्रिंग्स
5.50 - 6.60	नेटिव कंपाइल्ड मशीन कोड	मानक x86/x64 निर्देश (.text)
6.60 - 7.30	कंप्रेस्ड एसेट्स	बिटमैप्स, आइकॉन, zlib/deflate स्ट्रीम्स
7.40 - 8.00	क्रिप्टोग्राफिक साइफ़रटेक्स्ट	AES/RC4 एन्क्रिप्टेड पेलोड या टाइटली पैक्ड शेलकोड

---

लाइसेंस

MIT लाइसेंस। विवरण के लिए LICENSE देखें।