PETriage

Uma ferramenta rápida e multiplataforma de análise superficial de PE (Portable Executable) para triagem de malware, escrita em Rust. Projetada para analistas que precisam de triagem prática de PE no Linux, macOS e Windows sem depender de um fluxo de trabalho exclusivo do Windows.

Anteriormente readpe (renomeado para evitar colisões de nomenclatura com ferramentas existentes).

Conceito

• Apenas estático -- O PE nunca é carregado ou executado. Seguro para triagem de malware.
• Foco em CLI -- Fluxo de trabalho padrão leve adequado para análise em lote e automação.
• Componível -- Saída JSON/NDJSON para pipe com jq, SIEMs e pipelines de scripts.
• Offline -- Sem chamadas de rede. Adequado para ambientes totalmente isolados (air-gapped).

Interfaces

Interface	Compilação	Descrição
CLI	cargo build --release	Fluxo de trabalho padrão para triagem de PE, saída estruturada, detecção de anomalias e automação em lote.
TUI	cargo build --release --features tui	Visualizador hexadecimal interativo com navegação por regiões PE.
GUI	cargo build --release --features gui	Análise em abas, arrastar e soltar, filtros de importação/strings, codificação por cores de entropia, editor de cabeçalho PE, extração/remoção de overlay.

Instalação Rápida

Compilação padrão de CLI:

cargo install petriage

Para compilações TUI e GUI, compile a partir do código-fonte com flags de recursos.

Ou compile a partir do código-fonte:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

Veja docs/installation.md para dependências de compilação GUI/TUI e compilação cruzada.

Uso Rápido

petriage <file.exe>              # Surface analysis (all except strings)
petriage <file.exe> -a           # All information including strings
petriage <file.exe> -H           # Headers only
petriage <file.exe> -i           # Imports only
petriage <file.exe> --hashes     # File hashes only
petriage <file.exe> --json       # JSON output
petriage --batch <dir> --ndjson  # Batch-analyze all PEs in a directory
petriage <file.exe> --fail-on warning  # Exit code 3 if anomalies meet the selected threshold
petriage <file.exe> --strip-overlay stripped.exe  # Save PE without overlay
petriage <file.exe> --carve-overlay overlay.bin   # Extract overlay data

petriage -x <file.exe>           # TUI hex viewer
petriage-gui                     # GUI (file dialog)
petriage-gui <file.exe>          # GUI (open file directly)

Veja docs/usage.md para opções completas de CLI, receitas jq, detalhes de TUI/GUI e exemplos de saída.

Principais Recursos

• 25 regras de anomalias -- Empacotamento, injeção de código, manipulação de timestamp, anomalias estruturais, vazamentos OPSEC, adulteração de Rich Header, anomalias no Diretório de Exportação
• Análise OPSEC -- Caminhos PDB, padrões de credenciais, detecção de endpoints, dicas de caminhos CI/CD, vazamentos de nomes de usuário em caminhos de origem
• Identificação de compilação -- Detecção de .NET / Go / Rust / MSVC / MinGW com identificação de empacotadores (UPX, Themida, VMProtect, NSIS, etc.)
• Extração/remoção de overlay -- Extrair dados de overlay ou salvar PE sem overlay (CLI e GUI)
• Análise do Diretório de Exportação -- Nome da DLL, timestamp, contagem de funções com detecção de timestamp anômalo
• Edição semântica de cabeçalho (GUI) -- Menus suspensos de Machine/Subsystem, timestamps legíveis, caixas de seleção de flags DllCharacteristics
• Destaque de seções não padrão -- Destaque amarelo para nomes de seção incomuns na CLI e GUI

Capturas de Tela

CLI

GUI

Headers (Structure View + Editor)

Header Editor (Inline Editing)

Códigos de Saída

Código	Significado
0	Sucesso
1	Erro de entrada (arquivo não encontrado, falha de leitura, PE inválido)
2	Erro de saída (falha ao escrever arquivo)
3	Limite de anomalias excedido (--fail-on)

Documentação

• Visão Geral e Recursos
• Instalação
• Uso e Exemplos
• Levantamento de Ferramentas Existentes
• Trabalhos Futuros

Licença

MIT OR Apache-2.0