entropystrip

Windows PE ट्रायाज, स्लाइडिंग-विंडो एंट्रॉपी विश्लेषण, और लोडर व क्रिप्टर में छिपे पेलोड का पता लगाने के लिए एक तेज़ CLI टूल।

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

EntropyStrip क्यों?

अधिकांश त्वरित-ट्रायज टूल्स संपूर्ण PE सेक्शन्स या पूरी फ़ाइलों में शैनन एन्ट्रॉपी की गणना करते हैं। हमलावर आधुनिक लोडर्स में इस औसत प्रभाव का फ़ायदा उठाते हैं:

• आकार द्वारा कमजोर करना: 1 MB के .rdata सेक्शन में जीरो से पैड किए गए 20 KB एन्क्रिप्टेड शेलकोड को छिपाने से सेक्शन-व्यापी एन्ट्रॉपी 5.5 से नीचे रहती है।
• पैडिंग द्वारा कमजोर करना: सिफरटेक्स्ट को NOP स्लेड्स (0x90) या दोहराए जाने वाले डेलिमीटर्स के साथ इंटरलीव करने से स्कोर बिनाइन कोड के स्तर तक नीचे आ जाता है।
• स्ट्रिंग स्टेजिंग: शेलकोड को UUID एरेज़ (UuidFromStringA) या IPv4 पतों (RtlIpv4StringToAddressA) में बदलने से डिस्क एन्ट्रॉपी रनटाइम पुनर्संयोजन तक लगभग 4.0 बनी रहती है।

EntropyStrip सब-सेक्शन विश्लेषण और संरचनात्मक जाँचों के माध्यम से इन अंधे धब्बों का समाधान करता है।

---

मुख्य क्षमताएँ

• स्लाइडिंग-विंडो निरीक्षण: कुल सेक्शन आकार की परवाह किए बिना केंद्रित पेलोड को पकड़ने के लिए अनुकूली स्टेपिंग के साथ 1024-बाइट और 256-बाइट विंडोज़ में सेक्शन और ओवरले को स्कैन करता है।
• डाइल्यूशन और Chi-Square जाँचें: पैड किए गए सिफरटेक्स्ट को चिह्नित करने के लिए मोडल बाइट वितरण और ऑपकोड एकरूपता का मूल्यांकन करता है।
• मेमोरी स्टेजिंग पहचान: UuidFromString और RtlIpv4StringToAddress स्टेजिंग प्रिमिटिव्स और फ़ॉर्मेटेड UUID स्ट्रिंग्स के क्लस्टर्स की पहचान करता है।
• YARA सिग्नेचर इंजन: डिफ़ॉल्ट खतरा नियम (Cobalt Strike बीकन्स, रैनसमवेयर शैडो कॉपी विलोपन, रिफ्लेक्टिव लोडर्स, शेलकोड एग हंटर्स) और --yara [PATH] के माध्यम से कस्टम नियमों को एकीकृत करता है। ज़ीरो-डिपेंडेंसी निष्पादन के लिए एक शुद्ध-Python फ़ॉलबैक स्कैनर शामिल है।
• गहन PE रिसोर्स (.rsrc) ट्री: रिसोर्स प्रविष्टियों का पुनरावर्ती रूप से निरीक्षण करता है, एम्बेडेड PE/MZ निष्पादन योग्य फ़ाइलों को चिह्नित करता है (रिसोर्स स्टेगेनोग्राफ़ी / T1027), और एन्क्रिप्टेड RT_RCDATA पेलोड्स को निकालता है।
• एक्सपोर्ट टेबल (EAT) और DLL साइड-लोडिंग ट्रायज: DLL प्रॉक्सिंग/फ़ॉरवर्डिंग का पता लगाता है और ज्ञात Windows सिस्टम DLLs के रूप में छद्म वेश धारण करने वाली बाइनरीज़ को चिह्नित करता है (T1574.002)।
• MalwareBazaar खतरा सूचना: डिफ़ॉल्ट रूप से फ़ॉरेंसिक टेलीमेट्री लीक किए बिना मैलवेयर परिवारों, कम्युनिटी टैग्स और VirusTotal डिटेक्शन दरों को वर्गीकृत करने के लिए --bazaar के माध्यम से ऑप्ट-इन हैश प्रतिष्ठा लुकअप।
• शुद्ध-Python फ़ज़ी हैशिंग (SSDEEP/CTPH) और कैंपेन क्लस्टरिंग: ज़ीरो C-डिपेंडेंसी के साथ रोलिंग पीसवाइज़ हैश की गणना करता है और डायरेक्टरी ट्रायज के दौरान संबंधित बाइनरीज़ को स्वचालित कैंपेन क्लस्टर्स में समूहित करता है।
• मेमोरी अनुमतियाँ: Writable और Executable दोनों के रूप में चिह्नित सेक्शन्स में स्व-संशोधित कोड (W+X) को चिह्नित करता है।
• Authenticode और इंस्टॉलर सत्यापन: PE WIN_CERTIFICATE डायरेक्टरी सीमाओं और NSIS 0xdeadbeef हेडर्स को मान्य करता है ताकि हस्ताक्षरित सॉफ़्टवेयर और इंस्टॉलर गलत तरीके से स्कोर न किए जाएँ।
• Rich Header निरीक्षण: नेटिव बाइनरीज़ में स्ट्रिप्ड या अमान्य MSVC Rich Headers का पता लगाता है।
• पेलोड निष्कर्षण: Ghidra या x64dbg के लिए संदिग्ध बफ़र्स को सीधे डिस्क पर निकालने के लिए --dump का उपयोग करें।
• डायरेक्टरी ट्रायज: डायरेक्टरीज़ को स्कैन करने और घटना ट्रायज लीडरबोर्ड पर बाइनरीज़ को रैंक करने के लिए एक फ़ोल्डर पथ पास करें।

---

इंस्टॉलेशन

Windows, Linux या macOS पर Python 3.8+ आवश्यक है।

pip install entropystrip

या स्रोत से इंस्टॉल करें:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

उपयोग

usage: entropystrip [-h] [-v] [-r] [--dump] [--deep] [-i] [--install]
                    [--uninstall] [--html HTML] [--json JSON]
                    [--yara [RULE_PATH]] [--bazaar] [--bazaar-key KEY]
                    [target]

EntropyStrip: PE De-obfuscator, Shannon Entropy Radar, and Incident Triage Engine

positional arguments:
  target              Path to Windows executable (.exe / .dll) or directory

options:
  -h, --help          show this help message and exit
  -v, --version       Show program's version number and exit
  -r, --recursive     Recursively scan subdirectories
  --dump              Carve high-entropy payloads to extracted_payloads/
  --deep              Deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  -i, --interactive   Launch interactive triage wizard
  --install           Install EntropyStrip globally to Windows PATH
  --uninstall         Uninstall EntropyStrip from Windows PATH
  --html HTML         Path to write standalone HTML report
  --json JSON         Path to write machine-readable JSON telemetry
  --yara [RULE_PATH]  Scan with YARA rules (uses bundled threats.yar by default, or custom file/dir)
  --bazaar            Query MalwareBazaar (abuse.ch) for sample hash intelligence and signatures
  --bazaar-key KEY    MalwareBazaar API Auth-Key (overrides MALWAREBAZAAR_API_KEY environment variable)

उदाहरण

YARA स्कैनिंग के साथ एकल बाइनरी का विश्लेषण करें:

entropystrip target.exe --yara

कस्टम YARA नियमों के साथ स्कैन करें और MalwareBazaar खतरा सूचना क्वेरी करें:

entropystrip suspicious.exe --yara my_rules.yar --bazaar

MITRE ATT&CK मैपिंग और डिसअसेम्बली के साथ गहन फॉरेंसिक ट्रायज:

entropystrip suspicious.exe --deep

छिपे हुए पेलोड बफ़र्स और एम्बेडेड संसाधनों को निकालें:

entropystrip suspicious.exe --dump

extracted_payloads/payload_<sha256>_sec<index>_<section>.bin में निकाले गए पेलोड लिखे जाते हैं।

एक स्टैंडअलोन HTML रिपोर्ट निर्यात करें:

entropystrip sample.exe --html report.html

स्वचालित अभियान क्लस्टरिंग के साथ पूरी डायरेक्टरी का ट्राइएज करें:

entropystrip "C:\IncidentTriage" -r --html incident_report.html

एंट्रॉपी संदर्भ

शैनन एंट्रॉपी प्रति बाइट 0.00 से 8.00 बिट्स तक सूचना घनत्व मापती है:

एंट्रॉपी सीमा	विशिष्ट सामग्री	टिप्पणियाँ
0.00 - 2.00	शून्य-पैडिंग, विरल तालिकाएँ	संरेखण पैडिंग, अनइनिशियलाइज़्ड बफ़र्स
2.00 - 5.50	मानक ASCII, कॉन्फ़िगरेशन	एप्लिकेशन मेटाडेटा, पठनीय स्ट्रिंग्स
5.50 - 6.60	नेटिव कंपाइल्ड मशीन कोड	मानक x86/x64 निर्देश (.text)
6.60 - 7.30	संपीड़ित एसेट्स	बिटमैप्स, आइकन, zlib/deflate स्ट्रीम
7.40 - 8.00	क्रिप्टोग्राफ़िक सिफरटेक्स्ट	एन्क्रिप्टेड पेलोड या पैक्ड शेलकोड

---

लाइसेंस

MIT लाइसेंस। विवरण के लिए LICENSE देखें।