entropystrip

Windows PEのトリアージ、スライディングウィンドウによるエントロピー分析、およびローダーやクリプターに隠されたペイロードの検出を行う高速CLIツールです。

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

なぜEntropyStripなのか？

ほとんどのクイックトリアージツールは、PEセクション全体またはファイル全体にわたってシャノンエントロピーを計算します。攻撃者は現代のローダーにおいて、この平均化効果を悪用します：

• サイズによる希釈： 20 KBの暗号化シェルコードを、ゼロでパディングされた1 MBの.rdataセクション内に隠すことで、セクション全体のエントロピーを5.5未満に抑えます。
• パディングによる希釈： 暗号文をNOPスレッド（0x90）や繰り返し区切り文字と交互に配置することで、スコアを良性コードのレベルまで引き下げます。
• 文字列ステージング： シェルコードをUUID配列（UuidFromStringA）やIPv4アドレス（RtlIpv4StringToAddressA）に変換することで、実行時の再構築までディスク上のエントロピーを約4.0に保ちます。

EntropyStripは、サブセクション分析と構造チェックによってこれらの盲点に対処します。

---

主な機能

• スライディングウィンドウ検査： セクションとオーバーレイを1024バイトおよび256バイトのウィンドウで適応的にステップしながらスキャンし、セクション全体のサイズに関係なく集中したペイロードを検出します。
• 希釈およびカイ二乗チェック： 最頻バイト分布とオペコードの均一性を評価し、パディングされた暗号文を検出します。
• メモリステージング検出： UuidFromStringおよびRtlIpv4StringToAddressステージングプリミティブ、およびフォーマットされたUUID文字列のクラスタを識別します。
• YARAシグネチャエンジン： デフォルトの脅威ルール（Cobalt Strikeビーコン、ランサムウェアのシャドウコピー削除、リフレクティブローダー、シェルコードエッグハンター）と、--yara [PATH]によるカスタムルールを統合します。ゼロ依存実行のための純粋なPythonフォールバックスキャナを含みます。
• 深いPEリソース（.rsrc）ツリー： リソースエントリを再帰的に検査し、埋め込まれたPE/MZ実行ファイル（リソースステガノグラフィ / T1027）をフラグし、暗号化されたRT_RCDATAペイロードを抽出します。
• エクスポートテーブル（EAT）およびDLLサイドローディングトリアージ： DLLプロキシ/フォワーディングを検出し、既知のWindowsシステムDLLを偽装するバイナリをフラグします（T1574.002）。
• MalwareBazaar脅威インテリジェンス： --bazaarによるオプトインのハッシュレピュテーション検索で、マルウェアファミリ、コミュニティタグ、VirusTotal検出率を分類します。デフォルトではフォレンジックテレメトリを漏洩しません。
• 純粋なPythonファジーハッシュ（SSDEEP/CTPH）およびキャンペーンクラスタリング： C依存なしでローリングピースワイズハッシュを計算し、ディレクトリトリアージ中に関連バイナリを自動キャンペーンクラスタにグループ化します。
• メモリ権限： 書き込み可能かつ実行可能（W+X）とマークされたセクション内の自己変更コードをフラグします。
• Authenticodeおよびインストーラ検証： PEのWIN_CERTIFICATEディレクトリ境界とNSISの0xdeadbeefヘッダを検証し、署名済みソフトウェアやインストーラが誤ってスコアリングされないようにします。
• Rich Header検査： ネイティブバイナリ内の削除または無効なMSVC Rich Headerを検出します。
• ペイロード抽出： --dumpを使用して疑わしいバッファを直接ディスクに抽出し、Ghidraやx64dbgで分析できます。
• ディレクトリトリアージ： フォルダパスを渡すとディレクトリをスキャンし、インシデントトリアージリーダーボードでバイナリをランク付けします。

---

インストール

Windows、Linux、またはmacOSでPython 3.8+が必要です。

pip install entropystrip

ソースからインストールする場合:

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

使用方法

usage: entropystrip [-h] [-v] [-r] [--dump] [--deep] [-i] [--install]
                    [--uninstall] [--html HTML] [--json JSON]
                    [--yara [RULE_PATH]] [--bazaar] [--bazaar-key KEY]
                    [target]

EntropyStrip: PE De-obfuscator, Shannon Entropy Radar, and Incident Triage Engine

positional arguments:
  target              Path to Windows executable (.exe / .dll) or directory

options:
  -h, --help          show this help message and exit
  -v, --version       Show program's version number and exit
  -r, --recursive     Recursively scan subdirectories
  --dump              Carve high-entropy payloads to extracted_payloads/
  --deep              Deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  -i, --interactive   Launch interactive triage wizard
  --install           Install EntropyStrip globally to Windows PATH
  --uninstall         Uninstall EntropyStrip from Windows PATH
  --html HTML         Path to write standalone HTML report
  --json JSON         Path to write machine-readable JSON telemetry
  --yara [RULE_PATH]  Scan with YARA rules (uses bundled threats.yar by default, or custom file/dir)
  --bazaar            Query MalwareBazaar (abuse.ch) for sample hash intelligence and signatures
  --bazaar-key KEY    MalwareBazaar API Auth-Key (overrides MALWAREBAZAAR_API_KEY environment variable)

例

YARA スキャンで単一のバイナリを解析する:

entropystrip target.exe --yara

カスタムYARAルールでスキャンし、MalwareBazaarの脅威インテリジェンスを照会する:

entropystrip suspicious.exe --yara my_rules.yar --bazaar

MITRE ATT&CK マッピングと逆アセンブリによる詳細なフォレンジックトリアージ:

entropystrip suspicious.exe --deep

隠されたペイロードバッファと埋め込みリソースを抽出する:

entropystrip suspicious.exe --dump

抽出されたペイロードは extracted_payloads/payload_<sha256>_sec<index>_<section>.bin に書き込まれます。

スタンドアロンHTMLレポートをエクスポート:

entropystrip sample.exe --html report.html

自動キャンペーンクラスタリングでディレクトリ全体をトリアージする:

entropystrip "C:\IncidentTriage" -r --html incident_report.html

---

エントロピーリファレンス

シャノンエントロピーは、1バイトあたり0.00から8.00ビットの情報密度を測定します:

エントロピー範囲	典型的な内容	備考
0.00 - 2.00	ゼロパディング、疎なテーブル	アラインメントパディング、未初期化バッファ
2.00 - 5.50	標準ASCII、設定ファイル	アプリケーションメタデータ、可読文字列
5.50 - 6.60	ネイティブコンパイル済みマシンコード	標準的なx86/x64命令 (.text)
6.60 - 7.30	圧縮アセット	ビットマップ、アイコン、zlib/deflateストリーム
7.40 - 8.00	暗号文	暗号化されたペイロードまたはパックされたシェルコード

---

ライセンス

MITライセンス。詳細はLICENSEを参照してください。