entropystrip

Uno strumento CLI veloce per il triage dei PE di Windows, l'analisi dell'entropia a finestra scorrevole e il rilevamento di payload nascosti in loader e crypter.

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

Perché EntropyStrip?

La maggior parte degli strumenti di triage rapido calcola l'entropia di Shannon sull'intera sezione PE o sull'intero file. Gli attaccanti sfruttano questo effetto di mediazione nei moderni loader:

• Diluizione per dimensione: Nascondere 20 KB di shellcode cifrato all'interno di una sezione .rdata da 1 MB riempita di zeri mantiene l'entropia dell'intera sezione sotto 5.5.
• Diluizione tramite padding: L'intercalare testo cifrato con NOP sled (0x90) o delimitatori ripetuti abbassa il punteggio a livelli di codice benigno.
• Staging di stringhe: Convertire lo shellcode in array di UUID (UuidFromStringA) o indirizzi IPv4 (RtlIpv4StringToAddressA) mantiene l'entropia su disco intorno a 4.0 fino al riassemblaggio a runtime.

EntropyStrip affronta questi punti ciechi con l'analisi a livello di sotto-sezione e controlli strutturali.

---

Capacità principali

• Ispezione a finestra scorrevole: Analizza sezioni e overlay in finestre da 1024 byte e 256 byte con avanzamento adattivo per individuare payload concentrati indipendentemente dalla dimensione totale della sezione.
• Controlli di diluizione e Chi-Square: Valuta la distribuzione modale dei byte e l'uniformità degli opcode per segnalare testo cifrato con padding.
• Rilevamento dello staging in memoria: Identifica le primitive di staging UuidFromString e RtlIpv4StringToAddress e i cluster di stringhe UUID formattate.
• Motore di firme YARA: Integra regole di minaccia predefinite (beacon Cobalt Strike, eliminazione di copie shadow da ransomware, loader riflessivi, shellcode egg hunter) e regole personalizzate tramite --yara [PATH]. Include uno scanner di fallback in puro Python per l'esecuzione senza dipendenze.
• Albero profondo delle risorse PE (.rsrc): Ispeziona ricorsivamente le voci delle risorse, segnala eseguibili PE/MZ incorporati (steganografia nelle risorse / T1027) ed estrae payload RT_RCDATA cifrati.
• Triage della tabella degli export (EAT) e del DLL side-loading: Rileva il proxying/forwarding delle DLL e segnala binari che si spacciano per DLL di sistema Windows note (T1574.002).
• Threat intelligence MalwareBazaar: Ricerca opt-in della reputazione degli hash tramite --bazaar per classificare famiglie di malware, tag della community e tassi di rilevamento VirusTotal senza divulgare telemetria forense per impostazione predefinita.
• Fuzzy hashing in puro Python (SSDEEP/CTPH) e clustering delle campagne: Calcola hash rolling piecewise senza dipendenze C e raggruppa binari correlati in cluster di campagne automatizzati durante il triage delle directory.
• Permessi di memoria: Segnala codice automodificante in sezioni contrassegnate sia come Writable che come Executable (W+X).
• Verifica Authenticode e installer: Convalida i limiti della directory WIN_CERTIFICATE del PE e le intestazioni NSIS 0xdeadbeef affinché software firmato e installer non vengano valutati erroneamente.
• Ispezione dell'Rich Header: Rileva Rich Header MSVC rimossi o non validi nei binari nativi.
• Estrazione dei payload: Usa --dump per estrarre buffer sospetti direttamente su disco per Ghidra o x64dbg.
• Triage delle directory: Passa un percorso di cartella per analizzare le directory e classificare i binari in una classifica di triage degli incidenti.

---

Installazione

Richiede Python 3.8+ su Windows, Linux o macOS.

pip install entropystrip

Oppure installa dal codice sorgente:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

Utilizzo

usage: entropystrip [-h] [-v] [-r] [--dump] [--deep] [-i] [--install]
                    [--uninstall] [--html HTML] [--json JSON]
                    [--yara [RULE_PATH]] [--bazaar] [--bazaar-key KEY]
                    [target]

EntropyStrip: PE De-obfuscator, Shannon Entropy Radar, and Incident Triage Engine

positional arguments:
  target              Path to Windows executable (.exe / .dll) or directory

options:
  -h, --help          show this help message and exit
  -v, --version       Show program's version number and exit
  -r, --recursive     Recursively scan subdirectories
  --dump              Carve high-entropy payloads to extracted_payloads/
  --deep              Deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  -i, --interactive   Launch interactive triage wizard
  --install           Install EntropyStrip globally to Windows PATH
  --uninstall         Uninstall EntropyStrip from Windows PATH
  --html HTML         Path to write standalone HTML report
  --json JSON         Path to write machine-readable JSON telemetry
  --yara [RULE_PATH]  Scan with YARA rules (uses bundled threats.yar by default, or custom file/dir)
  --bazaar            Query MalwareBazaar (abuse.ch) for sample hash intelligence and signatures
  --bazaar-key KEY    MalwareBazaar API Auth-Key (overrides MALWAREBAZAAR_API_KEY environment variable)

Esempi

Analizza un singolo binario con la scansione YARA:

entropystrip target.exe --yara

Scansiona con regole YARA personalizzate e interroga il threat intel di MalwareBazaar:

entropystrip suspicious.exe --yara my_rules.yar --bazaar

Triage forense approfondito con mappatura MITRE ATT&CK e disassemblaggio:

entropystrip suspicious.exe --deep

Estrai i buffer di payload nascosti e le risorse incorporate:

entropystrip suspicious.exe --dump

I payload estratti vengono scritti in extracted_payloads/payload_<sha256>_sec<index>_<section>.bin.

Esporta un report HTML autonomo:

entropystrip sample.exe --html report.html

Triage di un'intera directory con clustering automatizzato delle campagne:

entropystrip "C:\IncidentTriage" -r --html incident_report.html

Riferimento sull'entropia

L'entropia di Shannon misura la densità informativa da 0,00 a 8,00 bit per byte:

Intervallo di entropia	Contenuto tipico	Note
0.00 - 2.00	Zero-padding, tabelle sparse	Padding di allineamento, buffer non inizializzati
2.00 - 5.50	ASCII standard, configurazioni	Metadati dell'applicazione, stringhe leggibili
5.50 - 6.60	Codice macchina compilato nativo	Istruzioni x86/x64 standard (.text)
6.60 - 7.30	Asset compressi	Bitmap, icone, flussi zlib/deflate
7.40 - 8.00	Testo cifrato crittografico	Payload cifrati o shellcode impacchettato

---

Licenza

Licenza MIT. Consulta LICENSE per i dettagli.