python-oletools

oletools는 Microsoft OLE2 파일(구조화 저장소, 복합 파일 바이너리 형식 또는 복합 문서 파일 형식이라고도 함)(예: Microsoft Office 97-2003 문서, MSI 파일, Outlook 메시지)을 분석하기 위한 Python 도구 패키지로, 주로 악성코드 분석, 포렌식 및 디버깅에 사용됩니다. olefile 파서를 기반으로 합니다.

또한 OpenXML 형식(일명 OOXML)을 기반으로 하는 파일(예: MS Office 2007+ 문서, XPS 또는 MSIX 파일) 및 RTF 파일을 분석하는 도구를 제공합니다.

예를 들어 oletools는 VBA 매크로, OLE 개체, Excel 4 매크로(XLM) 및 DDE 링크를 감지, 추출 및 분석할 수 있습니다.

자세한 내용은 http://www.decalage.info/python/oletools를 참조하십시오.

빠른 링크: 홈페이지 - 다운로드/설치 - 문서 - 이슈/제안/질문 보고 - 저자에게 연락 - 저장소 - Twitter 업데이트 치트시트

참고: python-oletools는 BeCubed Software에서 배포하는 OLETools와 관련이 없습니다.

뉴스

• 2025-05-22 v0.60.3:
  • olevba:
    • ANSI 이스케이프 코드가 존재할 때 CLI 표시에서 보안 문제 수정 (PR #873)
    • 암호화된 파일: 비밀번호가 이제 로그에 보고됨, --decrypted_dir 옵션 추가 (PR #842)
• 2024-07-02 v0.60.2:
  • olevba:
    • open_slk 버그 수정 (이슈 #797, PR #769)
    • dir 스트림의 새로운 PROJECTCOMPATVERSION 레코드로 인한 버그 수정 (PR #723, 이슈 #700, #701, #725, #791, #808, #811, #833)
  • oleobj: Python 3.12에서 SyntaxError 수정 (PR #855), SyntaxWarning 수정 (PR #774)
  • rtfobj: Python 3.12에서 SyntaxError 수정 (PR #854)
  • clsid: MSI, Zed용 CLSID 추가
  • ftguess: MSI, PNG 및 OneNote 형식 추가
  • pyxswf: Python 3.12 호환성 수정 (PR #841, 이슈 #813)
  • setup/requirements: 설치 문제 해결을 위해 pyparsing 3 허용 (PR #812, 이슈 #762)
• 2022-05-09 v0.60.1:
  • olevba:
    • XLMMacroDeobfuscator 호출 시 버그 수정 (PR #737)
    • 오탐을 유발하는 키워드 "sample" 제거
  • oleid: OleID 초기화 문제 수정 (이슈 #695, PR #696)
  • oleobj:
    • CVE-2021-40444 초기 단계에 대한 간단한 탐지 추가
    • customUI onLoad 탐지 추가
    • OLE 패키지의 잘못된 파일 이름 처리 개선 (PR #451)
  • rtfobj: Py3에서 OLE2Link 개체의 URL을 찾는 코드 수정 (이슈 #692)
  • ftguess:
    • PowerPoint 및 XPS 형식 추가 (PR #716)
    • XPS 및 잘못된 형식의 문서 문제 수정 (이슈 #711)
    • XLSB 형식 추가 (이슈 #758)
  • 공통 모듈 log_helper를 사용한 로깅 개선 (PR #449)
• 2021-06-02 v0.60:
  • ftguess: 파일 형식 및 컨테이너를 식별하는 새로운 도구 (이슈 #680)
  • oleid: (이슈 #679)
    • 각 지표에 위험 수준이 추가됨
    • 파일 형식 식별을 위해 ftguess 호출
    • VBA+XLM 매크로 탐지 및 분석을 위해 olevba+mraptor 호출
  • olevba:
    • XLMMacroDeobfuscator를 사용할 수 있는 경우, 이를 사용하여 XLM 매크로 추출 및 난독화 해제
  • rtfobj:
    • OLE 패키지의 파일 유형 식별을 위해 ftguess 사용 (이슈 #682)
    • re_executable_extensions 버그 수정
  • crypto: PowerPoint 투명 비밀번호 '/01Hannes Ruescher/01' 추가 (이슈 #627)
  • setup: XLMMacroDeobfuscator, xlrd2 및 pyxlsb2를 선택적 종속성으로 추가

자세한 내용은 전체 변경 로그를 참조하십시오.

도구:

악성 문서 분석 도구

• oleid: OLE 파일을 분석하여 일반적으로 악성 파일에서 발견되는 특정 특성을 탐지합니다.
• olevba: MS Office 문서(OLE 및 OpenXML)에서 VBA 매크로 소스 코드를 추출하고 분석합니다.
• MacroRaptor: 악성 VBA 매크로 탐지
• msodde: MS Office 문서, RTF 및 CSV에서 DDE/DDEAUTO 링크를 탐지하고 추출합니다.
• pyxswf: MS Office 문서(예: Word, Excel) 및 RTF와 같은 파일에 포함될 수 있는 Flash 개체(SWF)를 탐지, 추출 및 분석합니다. 악성코드 분석에 특히 유용합니다.
• oleobj: OLE 파일에서 포함된 개체를 추출합니다.
• rtfobj: RTF 파일에서 포함된 개체를 추출합니다.

OLE 파일 구조 분석 도구

• olebrowse: OLE 파일(예: MS Word, Excel, PowerPoint 문서)을 탐색하여 개별 데이터 스트림을 보고 추출할 수 있는 간단한 GUI입니다.
• olemeta: OLE 파일에서 모든 표준 속성(메타데이터)을 추출합니다.
• oletimes: 모든 스트림 및 저장소의 생성 및 수정 타임스탬프를 추출합니다.
• oledir: OLE 파일의 모든 디렉터리 항목(비어 있거나 고립된 항목 포함)을 표시합니다.
• olemap: OLE 파일의 모든 섹터 맵을 표시합니다.

oletools를 사용하는 프로젝트:

oletools는 다양한 프로젝트와 온라인 악성코드 분석 서비스에서 사용됩니다. 예: ACE, ADAPT, Anlyz.io, AssemblyLine, Binary Refinery, CAPE, CinCan, Cortex XSOAR (Palo Alto), Cuckoo Sandbox, DARKSURGEON, Deepviz, DIARIO, dridex.malwareconfig.com, EML Analyzer, EXPMON, FAME, FLARE-VM, GLIMPS Malware, Hybrid-analysis.com, InQuest Labs, IntelOwl, Joe Sandbox, Laika BOSS, MacroMilter, mailcow, malshare.io, malware-repo, Malware Repository Framework (MRF), MalwareBazaar, olefy, Pandora, PeekabooAV, pcodedmp, PyCIRCLean, QFlow, Qu1cksc0pe, Tylabs QuickSand, REMnux, Snake, SNDBOX, Splunk add-on for MS O365 Email, SpuriousEmu, Strelka, stoQ, Sublime Platform/MQL, Subparse, TheHive/Cortex, ThreatBoook, TSUGURI Linux, Vba2Graph, Viper, ViperMonkey, YOMI, 그리고 아마 VirusTotal, FileScan.IO. 그 외 GitHub의 꽤 많은 다른 프로젝트도 있습니다. (만약 oletools를 사용하는 프로젝트를 알고 계시다면 저에게 연락)해 주십시오.)