withsecurelabs/python-exe-unpackerUm script auxiliar para descompactar e descompilar EXEs compilados a partir de código python.
Autor: In Ming Loh ([email protected] - @tantaryu)
Empresa: Countercept (@countercept)
Site: https://www.countercept.com
Um script que ajuda pesquisadores a descompactar e descompilar executáveis escritos em Python. No entanto, atualmente ele só suporta executáveis criados com py2exe e pyinstaller.
Este script integra várias ferramentas disponíveis para a comunidade. Esperamos que isso possa ajudar as pessoas no seu trabalho diário. Várias regras YARA estão disponíveis para determinar se o executável foi escrito em Python (este script também confirma se o executável foi criado com py2exe ou pyinstaller).
pip2 install --user -r requirements.txtsudo pip2 install -r requirements.txtpython python_exe_unpack.py -i [malware.exe]
-rw-rw-r-- 1 testuser testuser 70K Nov 14 13:08 bz2.pyd-rw-rw-r-- 1 testuser testuser 993K Nov 14 13:08 _hashlib.pyd-rw-rw-r-- 1 testuser testuser 111 Nov 14 13:08 hello-rw-rw-r-- 1 testuser testuser 1009 Nov 14 13:08 hello.exe.manifest-rw-rw-r-- 1 testuser testuser 1.1K Nov 14 13:08 Microsoft.VC90.CRT.manifest-rw-rw-r-- 1 testuser testuser 220K Nov 14 13:08 msvcm90.dll-rw-rw-r-- 1 testuser testuser 557K Nov 14 13:08 msvcp90.dll-rw-rw-r-- 1 testuser testuser 638K Nov 14 13:08 msvcr90.dll-rw-rw-r-- 1 testuser testuser 628K Nov 14 13:08 out00-PYZ.pyzdrwxrwxr-x 2 testuser testuser 12K Nov 14 13:08 out00-PYZ.pyz_extracted-rw-rw-r-- 1 testuser testuser 5.2K Nov 14 13:08 pyiboot01_bootstrap-rw-rw-r-- 1 testuser testuser 2.5K Nov 14 13:08 pyimod01_os_path-rw-rw-r-- 1 testuser testuser 12K Nov 14 13:08 pyimod02_archive-rw-rw-r-- 1 testuser testuser 22K Nov 14 13:08 pyimod03_importers-rw-rw-r-- 1 testuser testuser 0 Nov 14 13:08 pyi-windows-manifest-filename hello.exe.manifest-rw-rw-r-- 1 testuser testuser 2.6M Nov 14 13:08 python27.dll-rw-rw-r-- 1 testuser testuser 10K Nov 14 13:08 select.pyd-rw-rw-r-- 1 testuser testuser 234 Nov 14 13:08 struct-rw-rw-r-- 1 testuser testuser 671K Nov 14 13:08 unicodedata.pydpython python_exe_unpack.py -p [arquivo pyc]