PETriage

Быстрый кроссплатформенный инструмент поверхностного анализа PE (Portable Executable) для триажа вредоносного ПО, написанный на Rust. Предназначен для аналитиков, которым нужен практичный триаж PE на Linux, macOS и Windows без привязки к Windows-ориентированному рабочему процессу.

Ранее назывался readpe (переименован во избежание конфликтов имён с существующими инструментами).

Концепция

• Только статика — PE никогда не загружается и не исполняется. Безопасен для триажа вредоносных файлов.
• Сначала CLI — лёгкий рабочий процесс по умолчанию, подходящий для пакетного анализа и автоматизации.
• Компонуемость — вывод в JSON/NDJSON для передачи в jq, SIEM и скриптовые конвейеры.
• Офлайн — без сетевых вызовов. Работает в полностью изолированных средах.

Интерфейсы

Быстрая установка

Сборка CLI по умолчанию:

cargo install petriage

Для сборок TUI и GUI — собирайте из исходников с флагами функций.

Или сборка из исходного кода:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

См. docs/installation.md для зависимостей сборки GUI/TUI и кросс-компиляции.

Быстрое использование

petriage <file.exe>              # Поверхностный анализ (все, кроме строк)
petriage <file.exe> -a           # Вся информация, включая строки
petriage <file.exe> -H           # Только заголовки
petriage <file.exe> -i           # Только импорты
petriage <file.exe> --hashes     # Только хеши файлов
petriage <file.exe> --json       # Вывод в JSON
petriage --batch <dir> --ndjson  # Пакетный анализ всех PE в каталоге
petriage <file.exe> --fail-on warning  # Код выхода 3, если аномалии превышают выбранный порог
petriage <file.exe> --strip-overlay stripped.exe  # Сохранить PE без наложения
petriage <file.exe> --carve-overlay overlay.bin   # Извлечь данные наложения

petriage -x <file.exe>           # TUI-просмотрщик шестнадцатеричных данных
petriage-gui                     # GUI (диалог выбора файла)
petriage-gui <file.exe>          # GUI (открыть файл напрямую)

См. docs/usage.md для полного списка опций CLI, рецептов jq, подробностей TUI/GUI и примеров вывода.

Ключевые возможности

• 25 правил аномалий — упаковка, внедрение кода, манипуляции с метками времени, структурные аномалии, утечки OPSEC, подделка Rich Header, аномалии таблицы экспорта
• Анализ OPSEC — пути PDB, шаблоны учётных данных, обнаружение конечных точек, признаки CI/CD, утечки имён пользователей в исходных путях
• Идентификация сборки — обнаружение .NET / Go / Rust / MSVC / MinGW с определением упаковщиков (UPX, Themida, VMProtect, NSIS и др.)
• Извлечение/удаление наложений — извлечение данных наложения или сохранение PE без наложения (CLI и GUI)
• Анализ таблицы экспорта — имя DLL, метка времени, количество функций с обнаружением аномальных меток времени
• Семантическое редактирование заголовков (GUI) — выпадающие списки Machine/Subsystem, читаемые метки времени, флажки DllCharacteristics
• Выделение нестандартных секций — жёлтая подсветка необычных имён секций в CLI и GUI

Скриншоты

CLI

GUI

Заголовки (структурный просмотр + редактор)

Редактор заголовков (встроенное редактирование)

Коды выхода

Документация

• Обзор и возможности
• Установка
• Использование и примеры
• Обзор существующих инструментов
• Планы на будущее

Лицензия

MIT OR Apache-2.0