Black Hat | PE Tree：BlackBerry 发布PE文件开源逆向工具

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

BlackBerry 在今年举办的美国黑帽大会上为网络安全社区发布了一款新工具：PE Tree。

PE Tree 是一款适用于 Linux、Mac 和 Windows 系统的基于 Python 的一款应用，可供逆向工程师分析可移植可执行文件 (PE) 文件的内部结构。PE 文件是恶意软件作者常用于隐藏恶意 payload 的常见文件。

上周，PE Tree 已在 GitHub 上开源，不过正式发布是在今天。

Blackberry 在新闻稿中表示，“对恶意软件进行逆向工程是一件极其耗费时间和精力的过程，可能涉及数小时的反汇编过程，有时候需要解构软件程序。BlackBerry 研究和情报团队最初开发了这款开源工具供内部使用，现在向恶意软件逆向社区开放。”

BlackBerry 指出，PE Tree 的好处包括：

• 以易于导航的树状图形式列出 PE 文件内容

• 集成 IDA Pro 反编译器（PE 结构易于导航、转储内存中的PE文件、执行导入重构）

• 集成 VirusTotal 搜索

• 可向 CyberChef 发送数据

• 可以独立应用或以 IDAPython 插件的方式运行

• 开源许可允许社区做出贡献

PE Tree 是 PE-bear 的可替代选择，后者是由 Malwarebytes公司恶意软件分析师 Aleksandra “Hasherezade”Doniec 开发的。

网络安全公司拥抱开源

PE Tree 也标志着另外一款有用的网络安全工具进入开源空间。这是网络安全公司做出的一个重大改变，此前网络安全公司一般都仅在内部使用这类工具，或者闭源开发且受昂贵的商用许可保护。

两年来，我们已经看到网络安全公司开源的多款工具：

• FireEye 发布 CommandoVM：一款基于 Windows 的虚拟机，专为恶意软件研究构建，是社区最爱操作系统 Kali Linux 的替代选项。https://github.com/fireeye/commando-vm
• FireEye 发布 Flashmingo：一款用于自动搜索Flash漏洞的app。https://github.com/fireeye/flashmingo
• FireEye 发布 Cresendo：一款用于 macOS 的实时事件查看器。https://github.com/SuprHackerSteve/Crescendo
• FireEye 发布 StringSifter：一款机器学习工具，可自动基于和恶意软件分析的相关性对字符串进行排序。

https://github.com/fireeye/stringsifter

• FireEye 发布 SharPersist：一款红队工具，用于通过多种不同技术在 Windows 建立可持久性。

https://github.com/fireeye/SharPersist

• FireEye 发布 Capa：一款可分析恶意软件并检测恶意能力的工具。

https://github.com/fireeye/capa

• Firefox 发布 SilkETW：一款用于收集并搜索Windows事件追踪 (ETW) 日志的工具。

https://github.com/fireeye/SilkETW

• 波兰CERT发布 DRAKVUF：一款自动的管理程序级别的恶意软件分析系统/沙箱。

https://github.com/CERT-Polska/drakvuf-sandbox

• CyberArk 发布 SkyWrapper：可扫描 AWS 基础设施且可检测黑客是否已经滥用自我复制令牌维持对受陷系统的访问权限。

https://github.com/cyberark/SkyWrapper

• CyberArk 发布 SkyArk：用于检测AWS 和 Azure 环境中影子管理员账户的工具。

https://github.com/cyberark/SkyArk

• F-Secure 发布 TamaGo：用于裸机片上系统 (SoC) 组件的一款基于 Go 语言的固件。

https://github.com/f-secure-foundry/tamago

• F-Secure 发布Jandroid：用于识别安卓潜在逻辑 bug 利用链的工具。

https://github.com/FSecureLABS/Jandroid

• F-Secure 发布 C3：用于构建自定义命令和控制服务器的开源工具。

https://github.com/FSecureLABS/C3

• SEC Consult 发布 SEC Xtractor：用于硬件利用和固件提取的工具。

https://github.com/sec-consult

• NCC Group 发布 Sniffle：全球首个开源的 Bluetooth 5 嗅探器。

https://github.com/nccgroup/sniffle

• NCC Group 发布 Phantom Tap(Phantap)：用于静默拦截网络流量的工具。

https://github.com/nccgroup/phantap

• NCC Group 发布 WStalker：用于支持 web API 调用测试的代理。

https://github.com/nccgroup/wstalker

• 谷歌发布“海啸（Tsunami）”：专为大型企业设计的漏洞扫描器。

https://github.com/google/tsunami-security-scanner

• 谷歌发布 UKIP：用于阻止 Linux 系统上 USB 击键注入攻击的工具。

https://github.com/google/ukip#installation-prerequisites

• 谷歌发布 Sandboxed API：Linux C/C++ 库沙箱项目。

https://github.com/google/sandboxed-api

• Cloudflare 发布 Flan Scan：一款网络漏洞扫描器。

https://github.com/cloudflare/flan

• Red Canary 发布 Chain Reactor：用于在 Linux 系统上模拟竞争对手的工具。

https://github.com/redcanaryco/chain-reactor

• SpecterOps 发布 Satellite：用于红队的payload 和代理服务。

https://github.com/t94j0/satellite

• Trustwave 发布 SCShell：依赖于 Service Manager 的无文件横向移动工具。

https://github.com/SpiderLabs/SCShell

• Trustwave 发布 CrackQ：用于管理消息队列系统中 hashcat 密码破解任务的工具。

https://github.com/f0cker/crackq

• 法国ANSSI网络安全局发布 DFIR ORC：专用于 Windows 系统工件收集的开源取证工具。

https://github.com/dfir-orc/dfir-orc

• Sophos 发布 Sandboxie：用户友好的 app，使用户能够在自身受陷的容器中沙箱（隔离）危险 app。

https://github.com/sandboxie/sandboxie

• NSA 发布 Ghidra：完善的软件逆向工具集。

https://github.com/NationalSecurityAgency/ghidra

• Intel 发布 HBFA：用于固件安全测试的 app。

https://github.com/tianocore/edk2-staging/tree/HBFA

推荐阅读

原文链接

https://www.zdnet.com/article/blackberry-releases-new-security-tool-for-reverse-engineering-pe-files/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

    觉得不错，就点个 “在看”