entropystrip

___________       __                               _________ __         .__        
\_   _____/ _____/  |________  ____ ______ ___.__./   _____//  |________|__|_____  
 |    __)_ /    \   __\_  __ \/  _ \\____ <   |  |\_____  \\   __\_  __ \  \____ \ 
 |        \   |  \  |  |  | \(  <_> )  |_> >___  |/        \|  |  |  | \/  |  |_> >
/_______  /___|  /__|  |__|   \____/|   __// ____/_______  /|__|  |__|  |__|   __/ 
        \/     \/                   |__|   \/            \/                |__|    

---

功能简介

大多数现代恶意软件隐藏在加壳器、混淆加载器或加密的暂存器之后，旨在绕过简单的全文件熵扫描器。entropystrip 不依赖静态字节签名，而是评估以下内容：

1. 滑动窗口子区域雷达： 双分辨率（1024 字节和 256 字节）滑动窗口检测隐藏在大型低熵区段或覆盖层中的集中加密载荷。
2. 广义稀释防御与卡方检验（$\chi^2$）： 通过分析众数字节分布和统计均匀性，击败填充规避手段（交错空字节、NOP 滑板）。
3. 基于字符串的暂存原语： 标记内存暂存原语（UuidFromString、RtlIpv4StringToAddress）并检测格式化 UUID shellcode 簇。
4. 内存权限（W+X）： 识别同时标记为可写和可执行的区段（IMAGE_SCN_MEM_WRITE 和 IMAGE_SCN_MEM_EXECUTE）。
5. 覆盖层与证书雷达： 测量未映射的尾部字节，并对 WIN_CERTIFICATE Authenticode 表进行结构验证，以区分真实证书与投放器。
6. MITRE ATT&CK 映射： 自动将发现结果关联到对手技术 ID（T1027、T1027.001、T1027.002、T1055、T1497、T1129）。
7. 安装程序白名单： 验证 NSIS（0xdeadbeef）和安装程序头结构，以消除对合法软件的误报。
8. 自动化载荷提取： --dump 将可疑区段和覆盖层直接提取到磁盘，以便离线去混淆。
9. 目录事件分类： 遍历目录并在事件分类排行榜上对所有二进制文件进行排名。

---

安装

要求：Windows、Linux 或 macOS 上的 Python 3.8+。

pip install entropystrip

或直接从源码安装：

git clone https://github.com/dwexi/entropystrip.git
cd entropystrip
pip install -e .

---

用法

usage: entropystrip [-h] [-r] [--dump] [--deep] [--html HTML] [--json JSON] target

EntropyStrip: PE De-obfuscator & Triage Engine

positional arguments:
  target         Path to Windows executable (.exe / .dll) or directory to scan

options:
  -h, --help     show this help message and exit
  -r, --recursive
                 recursively scan subdirectories if target is a folder
  --dump         carve and write high-entropy payloads to extracted_payloads/
  --deep         deep forensic triage: MITRE ATT&CK mapping, entry point disassembly, hashes
  --html HTML    write minimalist HTML report to specified path
  --json JSON    write machine-readable JSON telemetry to specified path

示例

分析单个二进制文件：

python main.py target.exe

带 MITRE ATT&CK 映射和反汇编的深度取证分类：

python main.py suspicious.exe --deep

分析并提取隐藏的载荷缓冲区：

python main.py suspicious.exe --dump

提取的载荷会写入 extracted_payloads/<target>_<section>.bin。

导出独立的 HTML 报告：

python main.py sample.exe --html report.html

对包含未知文件的整个目录进行分类：

python main.py "C:\IncidentTriage" -r

---

熵值参考

香农熵以每字节 0.00 到 8.00 比特衡量信息密度：

$$H(X) = -\sum_{i=0}^{255} P(x_i) \log_2 P(x_i)$$

熵值范围	预期内容	说明
0.00 - 2.00	零填充、稀疏表	常见于未初始化数据或对齐填充
2.00 - 5.50	标准 ASCII、配置	正常的应用程序元数据、字符串
5.50 - 6.60	原生编译机器码	标准 x86/x64 指令（.text）
6.60 - 7.30	压缩资源	位图、图标、zlib/deflate 流
7.40 - 8.00	加密密文	AES/RC4 加密载荷或紧密打包的 shellcode

---

许可证

MIT 许可证。详情请参阅 LICENSE。