withsecurelabs/python-exe-unpackerUno script di supporto per estrarre e decompilare gli EXE compilati da codice Python.
Autore: In Ming Loh ([email protected] - @tantaryu)
Azienda: Countercept (@countercept)
Sito web: https://www.countercept.com
Uno script che aiuta i ricercatori a decomprimere e decompilare eseguibili scritti in Python. Tuttavia, al momento supporta solo eseguibili creati con py2exe e pyinstaller.
Questo script combina diversi strumenti disponibili per la community. Si spera che possa aiutare le persone nel loro lavoro quotidiano. Diverse regole YARA sono disponibili per determinare se l'eseguibile è scritto in Python (questo script conferma anche se l'eseguibile è stato creato con py2exe o pyinstaller).
pip2 install --user -r requirements.txtsudo pip2 install -r requirements.txtpython python_exe_unpack.py -i [malware.exe]
-rw-rw-r-- 1 testuser testuser 70K Nov 14 13:08 bz2.pyd-rw-rw-r-- 1 testuser testuser 993K Nov 14 13:08 _hashlib.pyd-rw-rw-r-- 1 testuser testuser 111 Nov 14 13:08 hello-rw-rw-r-- 1 testuser testuser 1009 Nov 14 13:08 hello.exe.manifest-rw-rw-r-- 1 testuser testuser 1.1K Nov 14 13:08 Microsoft.VC90.CRT.manifest-rw-rw-r-- 1 testuser testuser 220K Nov 14 13:08 msvcm90.dll-rw-rw-r-- 1 testuser testuser 557K Nov 14 13:08 msvcp90.dll-rw-rw-r-- 1 testuser testuser 638K Nov 14 13:08 msvcr90.dll-rw-rw-r-- 1 testuser testuser 628K Nov 14 13:08 out00-PYZ.pyzdrwxrwxr-x 2 testuser testuser 12K Nov 14 13:08 out00-PYZ.pyz_extracted-rw-rw-r-- 1 testuser testuser 5.2K Nov 14 13:08 pyiboot01_bootstrap-rw-rw-r-- 1 testuser testuser 2.5K Nov 14 13:08 pyimod01_os_path-rw-rw-r-- 1 testuser testuser 12K Nov 14 13:08 pyimod02_archive-rw-rw-r-- 1 testuser testuser 22K Nov 14 13:08 pyimod03_importers-rw-rw-r-- 1 testuser testuser 0 Nov 14 13:08 pyi-windows-manifest-filename hello.exe.manifest-rw-rw-r-- 1 testuser testuser 2.6M Nov 14 13:08 python27.dll-rw-rw-r-- 1 testuser testuser 10K Nov 14 13:08 select.pyd-rw-rw-r-- 1 testuser testuser 234 Nov 14 13:08 struct-rw-rw-r-- 1 testuser testuser 671K Nov 14 13:08 unicodedata.pydpython python_exe_unpack.py -p [file pyc]