PETriage

Un veloce strumento di analisi superficiale di PE (Portable Executable) multipiattaforma per il triage di malware, scritto in Rust. Progettato per analisti che necessitano di triage PE pratico su Linux, macOS e Windows senza dipendere da un flusso di lavoro solo Windows.

In precedenza readpe (rinominato per evitare collisioni di nomi con strumenti esistenti).

Concetto

• Solo statico -- Il PE non viene mai caricato né eseguito. Sicuro per il triage di malware.
• Priorità CLI -- Flusso di lavoro predefinito leggero adatto per analisi batch e automazione.
• Componibile -- Output JSON/NDJSON per il piping a jq, SIEM e pipeline di scripting.
• Offline -- Nessuna chiamata di rete. Adatto per ambienti completamente isolati.

Interfacce

Installazione Rapida

Build CLI predefinita:

cargo install petriage

Per le build TUI e GUI, compila dal sorgente con i flag delle feature.

Oppure compila dal sorgente:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

Vedi docs/installation.md per le dipendenze di build GUI/TUI e la cross-compilazione.

Utilizzo Rapido

petriage <file.exe>              # Surface analysis (all except strings)
petriage <file.exe> -a           # All information including strings
petriage <file.exe> -H           # Headers only
petriage <file.exe> -i           # Imports only
petriage <file.exe> --hashes     # File hashes only
petriage <file.exe> --json       # JSON output
petriage --batch <dir> --ndjson  # Batch-analyze all PEs in a directory
petriage <file.exe> --fail-on warning  # Exit code 3 if anomalies meet the selected threshold
petriage <file.exe> --strip-overlay stripped.exe  # Save PE without overlay
petriage <file.exe> --carve-overlay overlay.bin   # Extract overlay data

petriage -x <file.exe>           # TUI hex viewer
petriage-gui                     # GUI (file dialog)
petriage-gui <file.exe>          # GUI (open file directly)

Vedi docs/usage.md per le opzioni CLI complete, ricette jq, dettagli TUI/GUI e output di esempio.

Caratteristiche Principali

• 25 regole di anomalia -- Packing, code injection, manipolazione timestamp, anomalie strutturali, fughe OPSEC, manomissione Rich Header, anomalie Export Directory
• Analisi OPSEC -- Percorsi PDB, pattern di credenziali, rilevamento endpoint, indizi di percorso CI/CD, fughe di nomi utente nei percorsi sorgente
• Impronta digitale della build -- Rilevamento .NET / Go / Rust / MSVC / MinGW con identificazione dei packer (UPX, Themida, VMProtect, NSIS, ecc.)
• Estrazione/rimozione overlay -- Estrai dati overlay o salva PE senza overlay (CLI e GUI)
• Analisi Export Directory -- Nome DLL, timestamp, conteggi funzioni con rilevamento timestamp anomalo
• Modifica semantica delle intestazioni (GUI) -- Menu a discesa Machine/Subsystem, timestamp leggibili, checkbox flag DllCharacteristics
• Evidenziazione sezioni non standard -- Evidenziazione gialla per nomi di sezione insoliti in CLI e GUI

Screenshot

CLI

GUI

Intestazioni (Vista Struttura + Editor)

Editor Intestazioni (Modifica Inline)

Codici di Uscita

Documentazione

• Panoramica e Funzionalità
• Installazione
• Utilizzo ed Esempi
• Panoramica degli Strumenti Esistenti
• Lavori Futuri

Licenza

MIT OR Apache-2.0