analyzing-packed-malware-with-upx-unpacker

使用 UPX Unpacker 分析加壳恶意软件

适用场景

• 静态分析显示高熵节和极少的导入函数，表明二进制文件已加壳
• PEiD、Detect It Easy 或 PEStudio 识别出 UPX 或其他已知加壳工具
• 导入表仅包含 LoadLibrary 和 GetProcAddress（加壳二进制文件典型的运行时导入解析方式）
• 需要恢复原始二进制文件以在 Ghidra 或 IDA 中进行正常反汇编和反编译
• 因恶意软件作者修改了 UPX 魔数或头部导致自动 UPX 解压缩失败

不适用于处理自定义加壳、基于 VM 的保护器（Themida、VMProtect），或通过调试进行动态解包更合适的样本。

前置条件

• 已安装 UPX（Ultimate Packer for eXecutables）（apt install upx-ucl 或从 https://upx.github.io/ 下载）
• Detect It Easy (DIE)，用于加壳识别
• Python 3.8+，安装 pefile 库用于手动修复头部
• x64dbg 或 x32dbg，用于自动化工具失败时的手动解包
• PE-bear 或 CFF Explorer，用于 PE 头部检查和修复
• 隔离的分析虚拟机（无网络连接）

工作流程

步骤 1：识别加壳工具

确认样本是否加壳并识别加壳工具：

# 使用 Detect It Easy 检查
diec suspect.exe

# 使用 UPX 检查（仅测试，不解包）
upx -t suspect.exe

# 基于 Python 的熵值和加壳检测
python3 << 'PYEOF'
import pefile
import math

pe = pefile.PE("suspect.exe")

print("节分析：")
for section in pe.sections:
    name = section.Name.decode().rstrip('\x00')
    entropy = section.get_entropy()
    raw = section.SizeOfRawData
    virtual = section.Misc_VirtualSize
    print(f"  {name:8s} 熵值：{entropy:.2f}  原始大小：{raw:>8}  虚拟大小：{virtual:>8}")

# 检查 UPX 节名称
section_names = [s.Name.decode().rstrip('\x00') for s in pe.sections]
if 'UPX0' in section_names or 'UPX1' in section_names:
    print("\n[!] 检测到 UPX 节名称")
elif '.upx' in [s.lower() for s in section_names]:
    print("\n[!] 检测到 UPX 变体节名称")

# 检查导入数量（加壳二进制文件导入极少）
if hasattr(pe, 'DIRECTORY_ENTRY_IMPORT'):
    total_imports = sum(len(e.imports) for e in pe.DIRECTORY_ENTRY_IMPORT)
    print(f"\n总导入数：{total_imports}")
    if total_imports < 10:
        print("[!] 导入函数极少——可能已加壳")
else:
    print("\n[!] 无导入目录——高度加壳")
PYEOF

步骤 2：尝试标准 UPX 解压缩

尝试使用内置 UPX 解压功能：

# 标准 UPX 解压缩
upx -d suspect.exe -o unpacked.exe

# 如果 UPX 报 "not packed by UPX" 错误，说明头部可能已被修改
# 用详细输出进行调试
upx -d suspect.exe -o unpacked.exe -v 2>&1

# 验证解包后的文件
file unpacked.exe
diec unpacked.exe

步骤 3：修复被篡改的 UPX 头部

如果标准解压缩失败，修复被篡改的魔数：

# 修复被篡改的 UPX 头部
import struct

with open("suspect.exe", "rb") as f:
    data = bytearray(f.read())

# UPX 魔数："UPX!"（0x55505821）
# 恶意软件作者通常会修改这些字节以阻止自动解包

# 搜索被修改的 UPX 签名
upx_magic = b"UPX!"
modified_patterns = [b"UPX0", b"UPX\x00", b"\x00PX!", b"UPx!"]

# 查找并还原节名称
pe_offset = struct.unpack_from("<I", data, 0x3C)[0]
num_sections = struct.unpack_from("<H", data, pe_offset + 6)[0]
section_table_offset = pe_offset + 0x18 + struct.unpack_from("<H", data, pe_offset + 0x14)[0]

print(f"PE 偏移：0x{pe_offset:X}")
print(f"节数量：{num_sections}")
print(f"节表偏移：0x{section_table_offset:X}")

for i in range(num_sections):
    offset = section_table_offset + (i * 40)
    name = data[offset:offset+8]
    print(f"节 {i}：{name}")

# 还原二进制文件中的 UPX 魔数
# 搜索 UPX 头部签名位置（通常在加壳数据末尾附近）
for i in range(len(data) - 4):
    if data[i:i+3] == b"UPX" and data[i+3] != ord("!"):
        print(f"在偏移 0x{i:X} 处发现被修改的 UPX 魔数：{data[i:i+4]}")
        data[i:i+4] = b"UPX!"
        print(f"已还原为：UPX!")

# 如果节名称被修改也一并还原
for i in range(num_sections):
    offset = section_table_offset + (i * 40)
    name = data[offset:offset+8].rstrip(b'\x00')
    if name in [b"UPX0", b"UPX1", b"UPX2"]:
        continue  # 已正确
    # 检查常见的修改方式
    if name.startswith(b"UP") or name.startswith(b"ux"):
        original = f"UPX{i}".encode().ljust(8, b'\x00')
        data[offset:offset+8] = original
        print(f"在 0x{offset:X} 处还原节名称为 {original}")

with open("suspect_fixed.exe", "wb") as f:
    f.write(data)

print("\n已写入修复文件。重试：upx -d suspect_fixed.exe -o unpacked.exe")