peframe

peframe는 Portable Executable <http://en.wikipedia.org/wiki/Portable_Executable>_ 악성코드 및 일반 의심 파일에 대해 정적 분석을 수행하는 오픈소스 도구입니다. 이 도구는 악성코드 연구자들이 패커(packer), XOR, 디지털 서명, 뮤텍스(mutex), 안티 디버그(anti debug), 안티 가상 머신(anti virtual machine), 의심스러운 섹션 및 함수, 매크로 등 의심 파일에 대한 다양한 정보를 탐지하는 데 도움을 줄 수 있습니다.

설치

다운로드

.. code-block::

sudo apt install git git clone https://github.com/guelfoweb/peframe.git cd peframe

Ubuntu용 설치 스크립트

.. code-block::

sudo bash install.sh

설치 (사전 요구사항 필요)

.. code-block::

sudo python3 setup.py install

사전 요구사항

peframe을 설치하고 사용하려면 시스템에 다음 사전 요구사항이 설치되어 있어야 합니다.

.. code-block::

python >= 3.6.6
pyton3-pip
libssl-dev
swig

사용법

peframe -h

.. code-block::

peframe filename            짧은 출력 분석
peframe -i filename         대화형 모드
peframe -j filename         전체 출력 분석 (JSON 형식)
peframe -x STRING filename  XOR 문자열 검색
peframe -s filename         문자열 출력

참고 사항

"config" 폴더에 있는 "config-peframe.json" 파일을 편집하여 Virustotal API 키를 설정할 수 있습니다. 설치 후 "peframe -h"를 사용하여 api_config 경로를 확인할 수 있습니다.

작동 방식

MS Office (매크로) 문서 분석 (peframe 6.0.1)

.. image:: https://asciinema.org/a/mbLd5dChz9iI8eOY15fC2423X.svg :target: https://asciinema.org/a/mbLd5dChz9iI8eOY15fC2423X?autoplay=1

PE 파일 분석 (peframe 6.0.1)

.. image:: https://asciinema.org/a/P6ANqp0bHV0nFsuJDuqD7WQD7.svg :target: https://asciinema.org/a/P6ANqp0bHV0nFsuJDuqD7WQD7?autoplay=1

관련 연구...

• 브라질 금융 악성코드의 종단 분석 <https://www.lasca.ic.unicamp.br/paulo/papers/2020-TOPS-marcus.botacin-brazilian.bankers.pdf>_ (Federal University of Paraná, Marcus Botacin, Hojjat Aghakhani, Stefano Ortolani, Christopher Kruegel, Giovanni Vigna, Daniela Oliveira, Paulo Lício de Geus, André Grégio 2020)
• 기계 학습을 사용한 패킹된 악성코드 탐지를 위한 스마트 자동 도구 구축 <https://dial.uclouvain.be/memoire/ucl/en/object/thesis%3A25193>_ (Ecole polytechnique de Louvain, Université catholique de Louvain, Minet, Jeremy; Roussieau, Julian 2020)
• 패킹된 악성코드 분석 <https://www.researchgate.net/publication/220496734_Revealing_Packed_Malware>_ (Department of Electrical and Computer Engineering, Nirwan Ansari, New Jersey Institute of Technology - NJIT)
• 중요 기반시설 보안: 신종 악성코드 및 지능형 지속 위협(APT)에 대한 방어 강화 (PDF) <https://iris.uniroma1.it/retrieve/handle/11573/1362189/1359415/Tesi_dottorato_Laurenza.pdf>_ (Department of Computer, Control, and Management Engineering Antonio Ruberti, Sapienza – University of Rome)
• 악성코드 유통 네트워크 해부 (PDF) <https://ieeexplore.ieee.org/stamp/stamp.jsp?arnumber=9057639>_ (Department of Intelligent Systems Engineering, Cheju Halla University, Jeju 63092, South Korea)
• Intel Owl 0.4.0 <https://github.com/certego/IntelOwl/releases/tag/0.4.0>_ (certego platform - threat intelligence data about a file, an IP or a domain)

기타

이 도구는 현재 Gianni 'guelfoweb' Amato <http://guelfoweb.com/>_ 가 유지 관리하고 있으며, [email protected] 또는 트위터 @guelfoweb <http://twitter.com/guelfoweb>_ 로 연락할 수 있습니다. 제안과 비판을 환영합니다.