PortEx

PortEx에 오신 것을 환영합니다

PortEx는 Portable Executable 파일의 정적 악성코드 분석을 위한 Java 라이브러리입니다. PE 변형에 대한 견고성과 이상 탐지에 중점을 두고 있습니다. PortEx는 Java와 Scala로 작성되었으며 Java 애플리케이션을 대상으로 합니다.

기능

• 다음으로부터 헤더 정보 읽기: MSDOS Header, COFF File Header, Optional Header, Section Table
• PE 구조 읽기: Imports, Resources, Exports, Debug Directory, Relocations, Delay Load Imports, Bound Imports
• 섹션, 리소스, 오버레이, 인증서, 내장 ZIP, JAR 또는 .class 파일 덤프
• 구조적 이상, 사용 중단된 값, 예약된 값, 잘못된 값 또는 기본값이 아닌 값을 포함한 파일 형식 이상 스캔
• 다양한 색상과 크기로 PE 파일 구조, 로컬 엔트로피 및 파일의 바이트플롯 시각화
• 파일 및 섹션에 대한 Shannon Entropy 및 Chi Squared 계산
• 파일 및 섹션에 대한 ImpHash 및 Rich, RichPV 해시 값 계산
• RichHeader 파싱 및 체크섬 검증
• Authenticode 서명(인증서 테이블, PKCS#7, X.509 인증서, 타임스탬프, 중첩 서명) 파싱 및 무결성 검증: 이미지 다이제스트, 메시지 다이제스트, 서명자 및 인증서 서명(신뢰 또는 폐기 검사 없음); 변형되고 조작된 서명은 이상으로 보고됨
• Optional Header 체크섬 계산 및 검증
• 패커, 프로텍터, 크립터, 인스톨러 및 파일 형식 시그니처 또는 자체 시그니처 데이터베이스 스캔. 패턴은 진입점, 오버레이, 리소스, 섹션 또는 .NET 스트림과 같은 위치에 연결됨(Signatures 참조), PEiD 데이터베이스 가져오기 지원. 번들 시그니처에는 Detect It Easy에서 변환된 규칙이 포함됨
• Jar to EXE 래퍼 스캔(예: exe4j, jsmooth, jar2exe, launch4j)
• 파일에 포함된 Unicode 및 ASCII 문자열 추출
• 리소스 섹션의 아이콘에서 .ICO 파일 추출 및 변환
• 파일에서 버전 정보 및 매니페스트 추출
• .NET 메타데이터 및 스트림 읽기(Alpha)

자세한 내용은 PortEx Wiki와 Documentation을 참조하십시오. 시그니처 형식은 docs/SIGNATURES.md에 설명되어 있습니다. PortEx 5에서 업그레이드하시나요? docs/MIGRATION-6.md를 참조하십시오.

PortexAnalyzer CLI 및 GUI

PortexAnalyzer CLI는 내부적으로 PortEx 라이브러리를 실행하는 명령줄 도구입니다.

파일을 분석하는 데 사용할 미리 컴파일된 명령줄 PE 스캐너를 찾고 있다면 최신 버전을 여기에서 찾을 수 있습니다: PortexAnalyzer.jar

CLI 도구의 장기 릴리스 버전은 releases page에 있습니다.

GUI 버전은 여기에서 사용할 수 있습니다: PortexAnalyzerGUI

PortEx 사용하기

Maven 프로젝트에 PortEx 포함하기

다음 Maven 의존성을 추가하여 PortEx를 프로젝트에 포함할 수 있습니다:

<dependency>
   <groupId>io.github.struppigel</groupId>
   <artifactId>portex_2.12</artifactId>
   <version>6.0.0</version>
</dependency> 

로컬 빌드를 사용하려면 다음과 같이 라이브러리를 추가하세요:

<dependency>
   <groupId>io.github.struppigel</groupId>
   <artifactId>portex_2.12</artifactId>
   <version>6.0.0</version>
   <scope>system</scope>
   <systemPath>$PORTEXDIR/target/scala-2.12/portex_2.12-6.0.0.jar</systemPath>
</dependency> 

SBT 프로젝트에 PortEx 포함하기

build.sbt에 다음과 같이 의존성을 추가하세요

libraryDependencies += "io.github.struppigel" % "portex_2.12" % "6.0.0"

PortEx 빌드하기

요구 사항

PortEx는 sbt로 빌드됩니다.

sbt로 컴파일 및 빌드하기

프로젝트를 간단히 컴파일하려면 다음을 실행하세요:

$ sbt compile

jar를 생성하려면:

$ sbt package

To compile a fat jar that can be used as command line tool, type:

$ sbt assembly

Eclipse 프로젝트 생성

sbteclipse 플러그인을 사용하여 Eclipse 프로젝트를 생성할 수 있습니다. project/plugins.sbt에 다음 줄을 추가하세요:

addSbtPlugin("com.typesafe.sbteclipse" % "sbteclipse-plugin" % "2.4.0")

Eclipse용 프로젝트 파일을 생성합니다:

$ sbt eclipse

가져오기 마법사를 통해 Eclipse로 프로젝트를 가져옵니다.

후원

저는 여가 시간에 취미로 PortEx와 PortexAnalyzer를 개발합니다. 마음에 드신다면 커피 한 잔 사주시는 것을 고려해 주세요: https://ko-fi.com/struppigel

작성자

Karsten Hahn

Twitter/X: @Struppigel

Mastodon: [email protected]

Bluesky: https://bsky.app/profile/struppigel.bsky.social

Youtube: MalwareAnalysisForHedgehogs

라이선스

Apache License, Version 2.0

시그니처 데이터베이스 die.sig는 Detect It Easy의 규칙에서 변환되었으며 MIT 라이선스에 따라 라이선스가 부여됩니다. THIRD-PARTY-NOTICES.md를 참조하세요.