struppigel/hedgehog-tools악성코드 분석, 난독화 해제, 설정 추출을 위한 스크립트 모음입니다. AgentTesla, Qakbot, CobaltStrike와 같은 악성코드 패밀리에 대해 정적 분석, 언패킹, 셸코드 변환, C2 추출을 지원합니다.
| 폴더 | 스크립트 | 종속성 | 정적 분석 | 목적 |
|---|
| ECMAScript helpers | extract_called_functions.js | NodeJS | ✅ | JavaScript 난독화 해제. 주어진 시작 함수를 기반으로 호출된 모든 함수를 재귀적으로 추출 |
| ECMAScript helpers | rename_identifiers.js | NodeJS | ✅ | JavaScript 난독화 해제. 모든 식별자를 ren_<number>로 이름 변경 |
| Ghidra scripts | PropagateExternalParametersX64.java | Java | ✅ | Ghidra 제공 32비트 PropagateExternalParameters 스크립트의 x64 변형 |
| Ghidra scripts | move_callers_to_malware_namespace.py | Jython | ✅ | 모든 호출자 함수를 malware:: 네임스페이스로 이동 |
| ktrace | ktrace/ktrace.py | Python | ✅ | 커널 모드 드라이버 에뮬레이터 및 추적기 |
| Nuitka | nuitka_extractor.py | Python | ✅ | Nuitka onefile 실행 파일 추출 |
| PKG | pkg_vfs_extract.py | Python | ✅ | vercel/pkg 바이너리에서 임베디드 가상 파일 시스템 추출 및 검사 |
| Python helper scripts | extract_export_symbols.py | Python | ✅ | DLL의 모든 내보내기 함수에 대한 심볼 목록 획득 |
| Python helper scripts | monitor_and_dump_changed_files.py | Python | ⛔ | 지정된 폴더 내 변경 사항 모니터링 및 변경된 파일 덤프 |
| PyInstaller mod | pyinstaller-mod-extractor-ng.py | Python | ✅ | 사용자 정의 스텁 및 사용자 정의 암호화를 사용하는 PyInstaller 파일 추출 |
| Quick Batch File Compiler | qbfc_extract.py | Python | ✅ | Quick Batch File Compiler 파일 추출 |
| RenPy | rpa_extractor.py | Python | ✅ | RenPy 아카이브 (.rpa, .rpi) 추출 |
| Shellcode2PE | shellcode_to_pe.py | Python | ✅ | 원시 셸코드를 셸코드가 진입점인 PE 파일로 변환 |
| 대상 | 종속성 | 정적 분석 | 설정 추출 | C2 추출 | 난독화 해제 | 언패킹 | 패킹된 샘플 처리 |
|---|---|---|---|---|---|---|---|
| AgentTesla (OriginLogger) | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| AllCome | Python | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| BadSpace | IDAPython (IDA 8), HexRays decompiler | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| BeamNG Mod Malware | Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| BrowserFixer | .NET C# | ⛔ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| CobaltStrike | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| Dave | IDAPython (IDA 9) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| EvilConwi | Python | ✅ | ✅ | ⛔ | ⛔ | ⛔ | ⛔ |
| GootLoader | JavaScript, NodeJS | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| HijackLoader | Python | ✅ | ✅ | ⛔ | ✅ | ✅ | ✅ |
| LimeRAT | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| LummaStealer | Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| NightHawk | IDAPython (IDA 8) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| PEUnion | Python, Speakeasy | ✅ | ⛔ | ⛔ | ⛔ | ✅ | ✅ |
| PrivateLoader | IDAPython (IDA 8) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| Qakbot | Python | ✅ | ✅ | ✅ |
별도의 명시가 없는 한, 이 저장소의 도구는 MIT 라이선스에 따라 라이선스가 부여됩니다(LICENSE 파일 참조).
일부 도구는 GPLv3 프로젝트에서 파생되었으므로 GPLv3+ 라이선스가 유지됩니다. 이러한 도구에는 자체 LICENSE 파일과 헤더가 포함되어 있습니다.
| ✅ |
| ⛔ |
| ⛔ |
| RokRAT | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| Virut | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| XWormRAT | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
