metame

metame — это простой движок метаморфического кода для произвольных исполняемых файлов.

Из Википедии:

Метаморфический код — это код, который при выполнении выводит логически эквивалентную версию собственного кода в некоторой интерпретации. Он используется компьютерными вирусами для предотвращения распознавания шаблонов антивирусным ПО.

Реализация metame работает следующим образом:

1. Открыть заданный бинарный файл и проанализировать код.
2. Случайным образом заменить инструкции на эквивалентные по логике и размеру.
3. Скопировать исходный бинарный файл и наложить изменения для создания мутировавшего варианта.

В настоящее время поддерживаются следующие архитектуры:

• x86 32-бит
• x86 64-бит

Кроме того, поддерживаются различные форматы файлов, так как для разбора файлов и анализа кода используется radare2.

Пример кода до и после мутации:

Подсказка: в этом фрагменте заменены две инструкции.

Вот ещё один пример того, как он может превратить NOP sled в эквивалентный код:

Установка

pip install metame

Это также должно установить зависимости.

Вам также понадобится radare2. Обратитесь к официальному сайту за инструкциями по установке.

simplejson также является «желательной» зависимостью для небольшого прироста производительности:

pip install simplejson

Использование

metame -i original.exe -o mutation.exe -d

Используйте metame -h для справки.

Лицензия

Этот проект выпущен под лицензией MIT.