struppigel/hedgehog-toolsマルウェア分析、難読化解除、設定抽出のためのスクリプト集。AgentTesla、Qakbot、CobaltStrikeなどのマルウェアファミリー向けに、静的解析、アンパッキング、シェルコード変換、C2抽出をサポートします。
マルウェア解析、難読化解除、設定情報抽出のための小規模なスクリプトリポジトリ。
各フォルダ内のREADME.mdファイルで詳細を確認してください。
| フォルダ | スクリプト | 依存環境 | 静的解析 | 目的 |
|---|---|---|---|---|
| ECMAScript helpers | extract_called_functions.js | NodeJS | ✅ | JavaScriptの難読化解除。指定された開始関数に基づいて、呼び出されるすべての関数を再帰的に抽出します。 |
| ECMAScript helpers | rename_identifiers.js | NodeJS | ✅ | JavaScriptの難読化解除。すべての識別子を ren_<number> にリネームします。 |
| Ghidra scripts | PropagateExternalParametersX64.java | Java | ✅ | Ghidraが提供する32ビット版PropagateExternalParametersスクリプトのx64版 |
| Ghidra scripts | move_callers_to_malware_namespace.py | Jython | ✅ | すべての呼び出し元関数を malware:: 名前空間に移動します。 |
| ktrace | ktrace/ktrace.py | Python | ✅ | カーネルモードドライバエミュレータ兼トレーサー |
| Nuitka | nuitka_extractor.py | Python | ✅ | Nuitkaのonefile実行可能ファイルを抽出します。 |
| PKG | pkg_vfs_extract.py | Python | ✅ | vercel/pkg バイナリから埋め込まれた仮想ファイルシステムを抽出・検査します。 |
| Python helper scripts | extract_export_symbols.py | Python | ✅ | DLLのすべてのエクスポート関数のシンボルリストを取得します。 |
| Python helper scripts | monitor_and_dump_changed_files.py | Python | ⛔ | 指定されたフォルダ内の変更を監視し、変更されたファイルをダンプします。 |
| PyInstaller mod | pyinstaller-mod-extractor-ng.py | Python | ✅ | カスタムスタブとカスタム暗号化を使用するPyInstallerファイルを抽出します。 |
| Quick Batch File Compiler | qbfc_extract.py | Python | ✅ | Quick Batch File Compilerファイルを抽出します。 |
| RenPy | rpa_extractor.py | Python | ✅ | RenPyアーカイブ (.rpa, .rpi) を抽出します。 |
| Shellcode2PE | shellcode_to_pe.py | Python | ✅ | 生のシェルコードを、シェルコードをエントリポイントとするPEファイルに変換します。 |
特に明記されていない限り、このリポジトリのツールはMITライセンスの下で提供されます（LICENSE参照）。
| ターゲット | 依存環境 | 静的解析 | 設定情報抽出 | C2抽出 | 難読化解除 | アンパック | パックされたサンプル対応 |
|---|
| AgentTesla (OriginLogger) | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| AllCome | Python | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| BadSpace | IDAPython (IDA 8), HexRays decompiler | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| BeamNG Mod Malware | Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| BrowserFixer | .NET C# | ⛔ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| CobaltStrike | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| Dave | IDAPython (IDA 9) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| EvilConwi | Python | ✅ | ✅ | ⛔ | ⛔ | ⛔ | ⛔ |
| GootLoader | JavaScript, NodeJS | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| HijackLoader | Python | ✅ | ✅ | ⛔ | ✅ | ✅ | ✅ |
| LimeRAT | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| LummaStealer | Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| NightHawk | IDAPython (IDA 8) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| PEUnion | Python, Speakeasy | ✅ | ⛔ | ⛔ | ⛔ | ✅ | ✅ |
| PrivateLoader | IDAPython (IDA 8) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| Qakbot | Python | ✅ | ✅ | ✅ | ✅ | ⛔ | ⛔ |
| RokRAT | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| Virut | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| XWormRAT | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
