Identifies UPX-packed malware via entropy, sections, and imports, then unpacks standard or modified headers using UPX and Python pefile for static analysis in Ghidra/IDA.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 静态分析显示高熵节和极少的导入函数，表明二进制文件已加壳
Unpacks UPX-packed malware samples to expose original executable code for static analysis, handling modified headers when automated tools fail. Useful for high-entropy binaries or packer detection via DIE/PEiD.
Identifies UPX-packed malware via entropy checks and tools like Detect It Easy, then unpacks standard/modified samples using UPX or Python pefile for static analysis in Ghidra/IDA.
Uses PEStudio for static analysis of Windows PE malware, checking headers, imports, strings, resources, and indicators without execution. Detects packing, anti-analysis, malicious imports for pre-sandbox triage.
Share bugs, ideas, or general feedback.
不适用于处理自定义加壳、基于 VM 的保护器（Themida、VMProtect），或通过调试进行动态解包更合适的样本。
apt install upx-ucl 或从 https://upx.github.io/ 下载）pefile 库用于手动修复头部确认样本是否加壳并识别加壳工具：
# 使用 Detect It Easy 检查
diec suspect.exe
# 使用 UPX 检查（仅测试，不解包）
upx -t suspect.exe
# 基于 Python 的熵值和加壳检测
python3 << 'PYEOF'
import pefile
import math
pe = pefile.PE("suspect.exe")
print("节分析：")
for section in pe.sections:
name = section.Name.decode().rstrip('\x00')
entropy = section.get_entropy()
raw = section.SizeOfRawData
virtual = section.Misc_VirtualSize
print(f" {name:8s} 熵值：{entropy:.2f} 原始大小：{raw:>8} 虚拟大小：{virtual:>8}")
# 检查 UPX 节名称
section_names = [s.Name.decode().rstrip('\x00') for s in pe.sections]
if 'UPX0' in section_names or 'UPX1' in section_names:
print("\n[!] 检测到 UPX 节名称")
elif '.upx' in [s.lower() for s in section_names]:
print("\n[!] 检测到 UPX 变体节名称")
# 检查导入数量（加壳二进制文件导入极少）
if hasattr(pe, 'DIRECTORY_ENTRY_IMPORT'):
total_imports = sum(len(e.imports) for e in pe.DIRECTORY_ENTRY_IMPORT)
print(f"\n总导入数：{total_imports}")
if total_imports < 10:
print("[!] 导入函数极少——可能已加壳")
else:
print("\n[!] 无导入目录——高度加壳")
PYEOF
尝试使用内置 UPX 解压功能：
# 标准 UPX 解压缩
upx -d suspect.exe -o unpacked.exe
# 如果 UPX 报 "not packed by UPX" 错误，说明头部可能已被修改
# 用详细输出进行调试
upx -d suspect.exe -o unpacked.exe -v 2>&1
# 验证解包后的文件
file unpacked.exe
diec unpacked.exe
如果标准解压缩失败，修复被篡改的魔数：
# 修复被篡改的 UPX 头部
import struct
with open("suspect.exe", "rb") as f:
data = bytearray(f.read())
# UPX 魔数："UPX!"（0x55505821）
# 恶意软件作者通常会修改这些字节以阻止自动解包
# 搜索被修改的 UPX 签名
upx_magic = b"UPX!"
modified_patterns = [b"UPX0", b"UPX\x00", b"\x00PX!", b"UPx!"]
# 查找并还原节名称
pe_offset = struct.unpack_from("<I", data, 0x3C)[0]
num_sections = struct.unpack_from("<H", data, pe_offset + 6)[0]
section_table_offset = pe_offset + 0x18 + struct.unpack_from("<H", data, pe_offset + 0x14)[0]
print(f"PE 偏移：0x{pe_offset:X}")
print(f"节数量：{num_sections}")
print(f"节表偏移：0x{section_table_offset:X}")
for i in range(num_sections):
offset = section_table_offset + (i * 40)
name = data[offset:offset+8]
print(f"节 {i}：{name}")
# 还原二进制文件中的 UPX 魔数
# 搜索 UPX 头部签名位置（通常在加壳数据末尾附近）
for i in range(len(data) - 4):
if data[i:i+3] == b"UPX" and data[i+3] != ord("!"):
print(f"在偏移 0x{i:X} 处发现被修改的 UPX 魔数：{data[i:i+4]}")
data[i:i+4] = b"UPX!"
print(f"已还原为：UPX!")
# 如果节名称被修改也一并还原
for i in range(num_sections):
offset = section_table_offset + (i * 40)
name = data[offset:offset+8].rstrip(b'\x00')
if name in [b"UPX0", b"UPX1", b"UPX2"]:
continue # 已正确
# 检查常见的修改方式
if name.startswith(b"UP") or name.startswith(b"ux"):
original = f"UPX{i}".encode().ljust(8, b'\x00')
data[offset:offset+8] = original
print(f"在 0x{offset:X} 处还原节名称为 {original}")
with open("suspect_fixed.exe", "wb") as f:
f.write(data)
print("\n已写入修复文件。重试：upx -d suspect_fixed.exe -o unpacked.exe")
当自动解包完全失败时，使用动态解包：
使用 x64dbg 手动 UPX 解包：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. 在 x64dbg 中加载加壳样本
2. 运行到入口点（系统断点后按 F9）
3. UPX 解包桩模式：
a. PUSHAD（保存所有寄存器）
b. 解压缩循环（处理加壳的节）
c. 解析导入（LoadLibrary/GetProcAddress 调用）
d. POPAD（恢复寄存器）
e. JMP 到 OEP（原始入口点）
4. 在 PUSHAD 后对 ESP 设置硬件断点：
- PUSHAD 后，在寄存器中右键点击 ESP -> 在内存中跟随
- 在 [ESP] 地址处设置访问硬件断点
- 运行（F9）——在 POPAD 前跳转到 OEP 时中断
5. 单步执行（F7/F8）直到到达 JMP 到 OEP
6. 在 OEP 处：使用 Scylla 插件转储并修复导入：
- 插件 -> Scylla -> OEP = 当前 EIP
- 点击"IAT Autosearch" -> "Get Imports"
- 点击"Dump"保存解包后的二进制文件
- 点击"Fix Dump"修复导入表
验证解包样本的有效性和完整性：
# 验证解包后的 PE 文件是否有效
python3 << 'PYEOF'
import pefile
pe = pefile.PE("unpacked.exe")
# 检查节是否正常
print("解包后节分析：")
for section in pe.sections:
name = section.Name.decode().rstrip('\x00')
entropy = section.get_entropy()
print(f" {name:8s} 熵值：{entropy:.2f}")
# 验证导入已解析
print(f"\n导入数量：")
if hasattr(pe, 'DIRECTORY_ENTRY_IMPORT'):
for entry in pe.DIRECTORY_ENTRY_IMPORT:
dll = entry.dll.decode()
count = len(entry.imports)
print(f" {dll}：{count} 个函数")
total = sum(len(e.imports) for e in pe.DIRECTORY_ENTRY_IMPORT)
print(f" 总计：{total} 个导入")
# 比较文件大小
import os
packed_size = os.path.getsize("suspect.exe")
unpacked_size = os.path.getsize("unpacked.exe")
print(f"\n加壳： {packed_size:>10} 字节")
print(f"解包后：{unpacked_size:>10} 字节")
print(f"比率： {unpacked_size/packed_size:.1f}x")
PYEOF
| 术语 | 定义 |
|---|---|
| 加壳（Packing） | 压缩或加密可执行代码以减小文件大小并阻碍静态分析；二进制文件包含在运行时恢复代码的解包桩 |
| UPX | Ultimate Packer for eXecutables；开源可执行文件加壳工具，因免费且有效而常被恶意软件作者滥用 |
| 原始入口点（OEP） | 加壳前恶意软件代码的真实起始地址；解包桩解压代码后跳转到 OEP |
| 导入重建（Import Reconstruction） | 使用 Scylla 或 ImpRec 等工具，在从内存转储解包进程后重建导入地址表的过程 |
| PUSHAD/POPAD | 保存/恢复所有通用寄存器的 x86 指令；UPX 使用此模式在解包过程中保留寄存器状态 |
| 节熵（Section Entropy） | PE 节数据的随机性度量；加壳节熵值 > 7.0，而正常代码节平均为 5.0-6.5 |
| 魔数（Magic Bytes） | 文件中用于标识格式的签名字节；UPX 使用"UPX!"，恶意软件作者会修改这些字节以阻止自动解压缩 |
场景背景：一个恶意软件样本通过节名称（UPX0、UPX1）被识别为 UPX 加壳，但 upx -d 失败并报"CantUnpackException: header corrupted"。恶意软件作者修改了 UPX 魔数以阻止自动解压缩。
方法：
upx -d常见陷阱：
解包分析报告
===========================
样本： suspect.exe
SHA-256： e3b0c44298fc1c149afbf4c8996fb924...
加壳工具： UPX 3.96（修改版头部）
加壳二进制文件
节： UPX0（熵值：0.00）UPX1（熵值：7.89）.rsrc（熵值：3.45）
导入： 2 个（kernel32.dll：LoadLibraryA、GetProcAddress）
文件大小： 98,304 字节
解包方法
方法： 头部修复 + UPX -d
头部修复： 在偏移 0x1F000 处还原 UPX! 魔数
命令： upx -d suspect_fixed.exe -o unpacked.exe
结果： 成功
解包后二进制文件
节： .text（熵值：6.21）.rdata（熵值：4.56）.data（熵值：3.12）.rsrc（熵值：3.45）
导入： 147 个（kernel32、user32、advapi32、wininet、ws2_32）
文件大小： 245,760 字节（扩展 2.5 倍）
OEP： 0x00401000
验证
PE 有效： 是
导入已解析： 是（8 个 DLL 共 147 个函数）
可执行： 是（在沙箱中运行不崩溃）
后续步骤
- 将 unpacked.exe 导入 Ghidra 进行完整反汇编
- 对解包后的二进制文件运行 YARA 规则
- 将解包后的二进制文件提交 VirusTotal 以获得更好的检测率