mal_unpack

malunpack 基于 PE-sieve 的动态脱壳工具（ 📖 了解更多 ）。 它运行加壳的恶意软件，等待其解出有效载荷，转储该有效载荷，然后终止原始进程。 !CAUTION 此脱壳工具会实际运行原始恶意软件。请仅在虚拟机中使用。 ⚙ 用法 基本用法： malunpack.exe /exe /timeout 默认情况下，它会转储植入的 PE。 如果要转储 shellcode，请使用选项：/shellc。 如果要转储被修改/挂钩/修补的 PE，请使用选项 /hooks。 如果希望脱壳器在超时时终止，而不是在找到第一个植入物时终止，请使用 /trigger T。 !IMPORTANT...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...

pe-sieve

简介 PE-sieve 是一款帮助检测系统中运行的恶意软件，并收集潜在恶意材料用于进一步分析的工具。它能够识别并转储被扫描进程中的多种植入物：替换/注入的PE、shellcode、钩子以及其他内存补丁。 可检测内联钩子、Process Hollowing、Process Doppelgänging、反射式DLL注入等。 PE-sieve 旨在成为一个轻量级引擎 ，专门用于一次扫描一个进程 。它可以构建为EXE或DLL。DLL版本暴露了一个简单的API，可以轻松与其他应用程序集成。 📦 使用库：libPEConv 帮助 ❓ 常见问题解答 - 常见问题 📖 阅读 Wiki 🤔...

ida_ifl

IFL - 交互式函数列表 许可证：CC-BY https://creativecommons.org/licenses/by/3.0/ 这个小插件旨在提供一种用户友好的方式来在函数及其引用之间导航。 此外，它还允许将例如 PE-sieve 生成的报告导入 IDA。支持： .tag 格式（由 PE-sieve、Tiny Tracer、PE-bear 生成） .imports.txt 格式（由 PE-sieve 生成） 适用于 Python 2 的旧版本可通过分支python2 获取 如需 Binary Ninja...

pesieve-go

pesieve-go PE-sieve 的 Golang 绑定。 需要 pe-sieve32.dll、pe-sieve64.dll（受支持版本）位于项目目录中，或位于环境变量 PESIEVEDIR 指向的路径中。 API 为 PE-sieve API 提供以下包装器： PESieveVersion uint32 func PESieveHelp func PESieveScanpp PEsieveParams PEsieveReport func PESieveScanExpp PEsieveParams, rtype treporttype, jsonMaxSize uint32...

Investigate Inline Hooks: PE-sieve

PE-sieve is a light-weight tool that helps to detect malware running on the system, as well as to collect the potentially malicious material for further analysis. Recognizes and dumps variety of implants within the scanned process: replaced/injected PEs, shellcodes, hooks, and other in-memory...