用于恶意软件分析、反混淆和配置提取的小型脚本仓库。
有关更多详细信息，请参阅各个文件夹中的 README.md 文件。
| 文件夹 | 脚本 | 依赖 | 静态 | 用途 |
|---|---|---|---|---|
| ECMAScript 辅助工具 | extract_called_functions.js | NodeJS | ✅ | JavaScript 反混淆。根据给定的起始函数递归提取所有被调用的函数 |
| ECMAScript 辅助工具 | rename_identifiers.js | NodeJS | ✅ | JavaScript 反混淆。将所有标识符重命名为 ren_<number> |
| Ghidra 脚本 | PropagateExternalParametersX64.java | Java | ✅ | Ghidra 自带的 32 位 PropagateExternalParameters 脚本的 x64 变体 |
| Ghidra 脚本 | move_callers_to_malware_namespace.py | Jython | ✅ | 将所有调用者函数移入 malware:: 命名空间 |
| ktrace | ktrace/ktrace.py | Python | ✅ | 内核模式驱动模拟器与跟踪器 |
| Nuitka | nuitka_extractor.py | Python | ✅ | 提取 Nuitka onefile 可执行文件 |
| PKG | pkg_vfs_extract.py | Python | ✅ | 从 vercel/pkg 二进制文件中提取并检查嵌入式虚拟文件系统 |
| Python 辅助脚本 | extract_export_symbols.py | Python | ✅ | 获取 DLL 所有导出函数的符号列表 |
| Python 辅助脚本 | monitor_and_dump_changed_files.py | Python | ⛔ | 监视指定文件夹内的变化并转储发生变更的文件 |
| PyInstaller 修改版 | pyinstaller-mod-extractor-ng.py | Python | ✅ | 提取使用自定义 stub 和自定义加密的 PyInstaller 文件 |
| Quick Batch File Compiler | qbfc_extract.py | Python | ✅ | 提取 Quick Batch File Compiler 文件 |
| RenPy | rpa_extractor.py | Python | ✅ | 提取 RenPy 归档文件 (.rpa, .rpi) |
| Shellcode2PE | shellcode_to_pe.py | Python | ✅ | 将原始 shellcode 转换为以 shellcode 为入口点的 PE 文件 |
除非另有说明，本仓库中的工具均根据 MIT 许可证授权（见 LICENSE）。
部分工具衍生自 GPLv3 项目，因此仍以 GPLv3+ 授权。 这些工具包含各自的 LICENSE 文件和头文件。
| 目标 | 依赖 | 静态 | 配置提取 | C2 提取 | 反混淆 | 脱壳 | 处理加壳样本 |
|---|
| AgentTesla (OriginLogger) | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| AllCome | Python | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| BadSpace | IDAPython (IDA 8), HexRays decompiler | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| BeamNG Mod Malware | Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| BrowserFixer | .NET C# | ⛔ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| CobaltStrike | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| Dave | IDAPython (IDA 9) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| EvilConwi | Python | ✅ | ✅ | ⛔ | ⛔ | ⛔ | ⛔ |
| GootLoader | JavaScript, NodeJS | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| HijackLoader | Python | ✅ | ✅ | ⛔ | ✅ | ✅ | ✅ |
| LimeRAT | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
| LummaStealer | Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| NightHawk | IDAPython (IDA 8) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| PEUnion | Python, Speakeasy | ✅ | ⛔ | ⛔ | ⛔ | ✅ | ✅ |
| PrivateLoader | IDAPython (IDA 8) | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ⛔ |
| Qakbot | Python | ✅ | ✅ | ✅ | ✅ | ⛔ | ⛔ |
| RokRAT | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| Virut | Python, Ghidra, Jython | ✅ | ⛔ | ⛔ | ✅ | ⛔ | ✅ |
| XWormRAT | Python, dnlib | ✅ | ✅ | ✅ | ⛔ | ⛔ | ⛔ |
