python-exe-unpacker

Autore: In Ming Loh ([email protected] - @tantaryu)
Azienda: Countercept (@countercept)
Sito web: https://www.countercept.com

Introduzione

Uno script che aiuta i ricercatori a decomprimere e decompilare eseguibili scritti in Python. Tuttavia, al momento supporta solo eseguibili creati con py2exe e pyinstaller.

Questo script combina diversi strumenti disponibili per la community. Si spera che possa aiutare le persone nel loro lavoro quotidiano. Diverse regole YARA sono disponibili per determinare se l'eseguibile è scritto in Python (questo script conferma anche se l'eseguibile è stato creato con py2exe o pyinstaller).

Requisiti

• Python 2.7 o successivo.
• Installare tutte le dipendenze necessarie:
  pip2 install --user -r requirements.txt
  oppure, se preferisci installare le dipendenze con permessi di root
  sudo pip2 install -r requirements.txt

Per Iniziare

• python python_exe_unpack.py -i [malware.exe]

  • pyinstaller
    • Verrà creata una cartella con il nome del file originale concatenato con "_extracted". Ad esempio: "malware.exe_extracted".
    • Il file Python principale che contiene la logica sarà solitamente il file senza estensione (nella cartella concatenata con "_extracted"). Nell'esempio seguente, "hello" è quello che contiene la logica Python principale:
      -rw-rw-r-- 1 testuser testuser 70K Nov 14 13:08 bz2.pyd
-rw-rw-r-- 1 testuser testuser 993K Nov 14 13:08 _hashlib.pyd
-rw-rw-r-- 1 testuser testuser 111 Nov 14 13:08 hello
-rw-rw-r-- 1 testuser testuser 1009 Nov 14 13:08 hello.exe.manifest
-rw-rw-r-- 1 testuser testuser 1.1K Nov 14 13:08 Microsoft.VC90.CRT.manifest
-rw-rw-r-- 1 testuser testuser 220K Nov 14 13:08 msvcm90.dll
-rw-rw-r-- 1 testuser testuser 557K Nov 14 13:08 msvcp90.dll
-rw-rw-r-- 1 testuser testuser 638K Nov 14 13:08 msvcr90.dll
-rw-rw-r-- 1 testuser testuser 628K Nov 14 13:08 out00-PYZ.pyz
drwxrwxr-x 2 testuser testuser 12K Nov 14 13:08 out00-PYZ.pyz_extracted
-rw-rw-r-- 1 testuser testuser 5.2K Nov 14 13:08 pyiboot01_bootstrap
-rw-rw-r-- 1 testuser testuser 2.5K Nov 14 13:08 pyimod01_os_path
-rw-rw-r-- 1 testuser testuser 12K Nov 14 13:08 pyimod02_archive
-rw-rw-r-- 1 testuser testuser 22K Nov 14 13:08 pyimod03_importers
-rw-rw-r-- 1 testuser testuser 0 Nov 14 13:08 pyi-windows-manifest-filename hello.exe.manifest
-rw-rw-r-- 1 testuser testuser 2.6M Nov 14 13:08 python27.dll
-rw-rw-r-- 1 testuser testuser 10K Nov 14 13:08 select.pyd
-rw-rw-r-- 1 testuser testuser 234 Nov 14 13:08 struct
-rw-rw-r-- 1 testuser testuser 671K Nov 14 13:08 unicodedata.pyd
      
    • pyinstaller ha un'opzione che può crittografare il bytecode Python. Questo script proverà a decrittarlo e a decompilare il codice decrittato.
  • py2exe
    • Il risultato della decompressione e della decompilazione si troverà nella cartella "unpacked" o nella posizione da te specificata.
    • Se appare un errore come questo "Error in unpacking the exe. Probably due to version incompability (exe created using python 2 and run this script with python 3)", prova a impostare il tuo Python a una versione diversa da quella che stai usando. Es: "alias python=python2" o "alias python=python3"

• python python_exe_unpack.py -p [file pyc]

  • Nell'esempio precedente, a volte il file Python che contiene la logica principale non è nel formato accettato da uncompyle6 (mancano i numeri magici di Python). Il comando precedente anteporrà i numeri magici e lo decompilerà (se il numero magico è già stato anteposto, non lo aggiungerà e procederà direttamente con la decompilazione).

Crediti

• Extreme Coders per il loro script pyinstxtractor.py che aiuta a decomprimere gli eseguibili pyinstaller.
• Extreme Coders per le loro istruzioni su come decrittare il bytecode Python crittografato: https://0xec.blogspot.sg/2017/02/extracting-encrypted-pyinstaller.html
• unpy2exe
• uncompyle6