PETriage

Rust로 작성된 빠르고 크로스 플랫폼 PE(Portable Executable) 표면 분석 도구로, 악성코드 신속 분류(triage)를 위한 도구입니다. Windows 전용 워크플로우에 의존하지 않고 Linux, macOS, Windows에서 실용적인 PE 신속 분류가 필요한 분석가를 위해 설계되었습니다.

이전 이름은 readpe였으나 (기존 도구와의 이름 충돌을 피하기 위해 변경됨).

개념

정적 분석 전용 -- PE는 절대 로드되거나 실행되지 않습니다. 악성코드 신속 분류에 안전합니다.
CLI 우선 -- 배치 분석 및 자동화에 적합한 가벼운 기본 워크플로우.
조합 가능 -- JSON/NDJSON 출력을 지원하여 jq, SIEM 및 스크립팅 파이프라인에 연결 가능.
오프라인 -- 네트워크 호출 없음. 완전히 분리된 환경에 적합.

인터페이스

빠른 설치

기본 CLI 빌드:

cargo install petriage

TUI 및 GUI 빌드를 위해서는 기능 플래그를 사용하여 소스에서 빌드하세요.

또는 소스에서 빌드:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

GUI/TUI 빌드 종속성 및 크로스 컴파일에 대한 자세한 내용은 docs/installation.md를 참조하세요.

빠른 사용법

petriage <file.exe>              # 표면 분석 (문자열 제외)
petriage <file.exe> -a           # 문자열을 포함한 모든 정보
petriage <file.exe> -H           # 헤더만
petriage <file.exe> -i           # 임포트만
petriage <file.exe> --hashes     # 파일 해시만
petriage <file.exe> --json       # JSON 출력
petriage --batch <dir> --ndjson  # 디렉토리 내 모든 PE 배치 분석
petriage <file.exe> --fail-on warning  # 선택한 임계값에 이상이 있으면 종료 코드 3
petriage <file.exe> --strip-overlay stripped.exe  # 오버레이 없이 PE 저장
petriage <file.exe> --carve-overlay overlay.bin   # 오버레이 데이터 추출

petriage -x <file.exe>           # TUI 헥스 뷰어
petriage-gui                     # GUI (파일 대화상자)
petriage-gui <file.exe>          # GUI (파일 직접 열기)

전체 CLI 옵션, jq 레시피, TUI/GUI 세부 정보 및 예제 출력은 docs/usage.md를 참조하세요.

주요 기능

25개의 이상 탐지 규칙 -- 패킹, 코드 인젝션, 타임스탬프 조작, 구조적 이상, OPSEC 누출, Rich Header 변조, Export Directory 이상
OPSEC 분석 -- PDB 경로, 자격 증명 패턴, 엔드포인트 탐지, CI/CD 경로 힌트, 소스 경로 사용자 이름 누출
빌드 지문 식별 -- .NET / Go / Rust / MSVC / MinGW 탐지 및 패커 식별 (UPX, Themida, VMProtect, NSIS 등)
오버레이 추출/strip -- 오버레이 데이터 추출 또는 오버레이 없이 PE 저장 (CLI 및 GUI)
Export Directory 분석 -- DLL 이름, 타임스탬프, 함수 개수 및 비정상 타임스탬프 탐지
의미론적 헤더 편집 (GUI) -- Machine/Subsystem 드롭다운, 사람이 읽을 수 있는 타임스탬프, DllCharacteristics 플래그 체크박스
비표준 섹션 강조 표시 -- CLI 및 GUI에서 비정상 섹션 이름에 노란색 강조

스크린샷

CLI

PETriage CLI

GUI

PETriage GUI

헤더 (구조 보기 + 편집기)

PETriage Headers

헤더 편집기 (인라인 편집)

PETriage Editor

종료 코드

코드	의미
0	성공
1	입력 오류 (파일 없음, 읽기 실패, 잘못된 PE)
2	출력 오류 (파일 쓰기 실패)
3	이상 임계값 초과 (`--fail-on`)

문서

라이선스

MIT OR Apache-2.0

CLI	`cargo build --release`	PE 신속 분류, 구조화된 출력, 이상 탐지 및 배치 자동화를 위한 기본 워크플로우.
TUI	`cargo build --release --features tui`	PE 영역 탐색이 가능한 대화형 헥스 뷰어.
GUI	`cargo build --release --features gui`	탭 기반 분석, 드래그 앤 드롭, 가져오기/문자열 필터, 엔트로피 색상 코딩, PE 헤더 편집기, 오버레이 추출/strip.

PETriage

인기

PETriage

개념

인터페이스

빠른 설치

빠른 사용법

주요 기능

스크린샷

CLI

GUI

헤더 (구조 보기 + 편집기)

헤더 편집기 (인라인 편집)

종료 코드

문서

라이선스