withsecurelabs/python-exe-unpackerВспомогательный скрипт для распаковки и декомпиляции EXE-файлов, скомпилированных из Python-кода.
Автор: In Ming Loh ([email protected] - @tantaryu)
Компания: Countercept (@countercept)
Веб-сайт: https://www.countercept.com
Скрипт, который помогает исследователям распаковывать и декомпилировать исполняемые файлы, написанные на Python. Однако на данный момент он поддерживает только исполняемые файлы, созданные с помощью py2exe и pyinstaller.
Этот скрипт объединяет несколько инструментов, доступных сообществу. Надеюсь, это поможет людям в их повседневной работе. Доступно несколько YARA-правил для определения, написан ли исполняемый файл на Python (этот скрипт также подтверждает, создан ли исполняемый файл с помощью py2exe или pyinstaller).
pip2 install --user -r requirements.txtsudo pip2 install -r requirements.txtpython python_exe_unpack.py -i [malware.exe]
-rw-rw-r-- 1 testuser testuser 70K Nov 14 13:08 bz2.pyd-rw-rw-r-- 1 testuser testuser 993K Nov 14 13:08 _hashlib.pyd-rw-rw-r-- 1 testuser testuser 111 Nov 14 13:08 hello-rw-rw-r-- 1 testuser testuser 1009 Nov 14 13:08 hello.exe.manifest-rw-rw-r-- 1 testuser testuser 1.1K Nov 14 13:08 Microsoft.VC90.CRT.manifest-rw-rw-r-- 1 testuser testuser 220K Nov 14 13:08 msvcm90.dll-rw-rw-r-- 1 testuser testuser 557K Nov 14 13:08 msvcp90.dll-rw-rw-r-- 1 testuser testuser 638K Nov 14 13:08 msvcr90.dll-rw-rw-r-- 1 testuser testuser 628K Nov 14 13:08 out00-PYZ.pyzdrwxrwxr-x 2 testuser testuser 12K Nov 14 13:08 out00-PYZ.pyz_extracted-rw-rw-r-- 1 testuser testuser 5.2K Nov 14 13:08 pyiboot01_bootstrap-rw-rw-r-- 1 testuser testuser 2.5K Nov 14 13:08 pyimod01_os_path-rw-rw-r-- 1 testuser testuser 12K Nov 14 13:08 pyimod02_archive-rw-rw-r-- 1 testuser testuser 22K Nov 14 13:08 pyimod03_importers-rw-rw-r-- 1 testuser testuser 0 Nov 14 13:08 pyi-windows-manifest-filename hello.exe.manifest-rw-rw-r-- 1 testuser testuser 2.6M Nov 14 13:08 python27.dll-rw-rw-r-- 1 testuser testuser 10K Nov 14 13:08 select.pyd-rw-rw-r-- 1 testuser testuser 234 Nov 14 13:08 struct-rw-rw-r-- 1 testuser testuser 671K Nov 14 13:08 unicodedata.pydpython python_exe_unpack.py -p [pyc file]