PyInstaller raw marshal & Pyarmor v9 static unpack workflow

• Extrair blobs de marshal embutidos: pyi-archive_viewer sample.exe e exporte os objetos brutos (por exemplo, um arquivo chamado vvs). PyInstaller armazena streams de marshal nus que começam com 0xe3 (TYPE_CODE com FLAG_REF) em vez de arquivos .pyc completos. Prepend o header .pyc de 16 bytes correto (magic para a versão do interpretador embutido + timestamp/tamanho zerados) para que decompiladores o aceitem. Para Python 3.11.5 você pode obter o magic via imp.get_magic().hex() e patchar com dd/printf antes do payload marshal.
• Decompilar com ferramentas que respeitem a versão: pycdc -c -v 3.11.5 vvs.pyc > vvs.py ou PyLingual. Se apenas código parcial for necessário, você pode percorrer o AST (por exemplo, ast.NodeVisitor) para extrair argumentos/constantes específicas.
• Fazer parse do header do Pyarmor v9 para recuperar parâmetros criptográficos: assinatura PY<license> em 0x00, major/minor do Python em 0x09/0x0a, tipo de proteção 0x09 quando BCC está habilitado (0x08 caso contrário), offsets de início/fim do ELF em 0x1c/0x38, e o nonce AES-CTR de 12 bytes dividido entre 0x24..0x27 e 0x2c..0x33. O mesmo padrão se repete após o ELF embutido.
• Levar em conta objetos de código modificados pelo Pyarmor: co_flags tem o bit 0x20000000 setado e um campo adicional prefixado com comprimento. Desative deopt_code() do CPython durante o parse para evitar falhas de decriptação.
• Identificar regiões de código criptografadas: o bytecode é encapsulado por LOAD_CONST __pyarmor_enter_*__ … LOAD_CONST __pyarmor_exit_*__. Descriptografe o blob entre eles com AES-128-CTR usando a chave em runtime (por exemplo, 273b1b1373cf25e054a61e2cb8a947b8). Derive o nonce por região fazendo XOR da chave XOR específica do payload (12 bytes, do runtime do Pyarmor) com os 12 bytes no marcador __pyarmor_exit_*__. Após a decriptação, você também pode ver __pyarmor_assert_*__ (strings criptografadas) e __pyarmor_bcc_*__ (alvos compilados de dispatch).
• Descriptografar strings “mixed” do Pyarmor: constantes prefixadas com 0x81 estão criptografadas com AES-128-CTR (o plaintext usa 0x01). Use a mesma chave e o nonce de string derivado em runtime (por exemplo, 692e767673e95c45a1e6876d) para recuperar constantes de string longas.
• Tratar modo BCC: Pyarmor --enable-bcc compila muitas funções para um ELF acompanhante e deixa stubs Python que chamam __pyarmor_bcc_*__. Mapeie essas constantes para símbolos do ELF com ferramentas como bcc_info.py, então decompile/análise o ELF nos offsets reportados (por exemplo, __pyarmor_bcc_58580__ → bcc_180 no offset 0x4e70).

Python to Executable

Para começar, vamos mostrar como payloads podem ser compilados em py2exe e PyInstaller.

To create a payload using py2exe:

1. Instale o pacote py2exe a partir de http://www.py2exe.org/
2. Para o payload (neste caso, vamos chamá-lo de hello.py), use um script como o da Figura 1. A opção “bundle_files” com o valor de 1 empacotará tudo, incluindo o intérprete Python, em um único exe.
3. Quando o script estiver pronto, executamos o comando “python setup.py py2exe”. Isso criará o executável, como na Figura 2.

from distutils.core import setup
import py2exe, sys, os

sys.argv.append('py2exe')

setup(
options = {'py2exe': {'bundle_files': 1}},
#windows = [{'script': "hello.py"}],
console = [{'script': "hello.py"}],
zipfile = None,
)

C:\Users\test\Desktop\test>python setup.py py2exe
running py2exe
*** searching for required modules ***
*** parsing results ***
*** finding dlls needed ***
*** create binaries ***
*** byte compile python files ***
*** copy extensions ***
*** copy dlls ***
copying C:\Python27\lib\site-packages\py2exe\run.exe -> C:\Users\test\Desktop\test\dist\hello.exe
Adding python27.dll as resource to C:\Users\test\Desktop\test\dist\hello.exe

Para criar um payload usando PyInstaller:

1. Instale PyInstaller usando pip (pip install pyinstaller).
2. Depois disso, iremos emitir o comando “pyinstaller –onefile hello.py” (uma lembrança de que ‘hello.py’ é nosso payload). Isso irá agrupar tudo em um único executável.

C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
108 INFO: PyInstaller: 3.3.1
108 INFO: Python: 2.7.14
108 INFO: Platform: Windows-10-10.0.16299
………………………………
5967 INFO: checking EXE
5967 INFO: Building EXE because out00-EXE.toc is non existent
5982 INFO: Building EXE from out00-EXE.toc
5982 INFO: Appending archive to EXE C:\Users\test\Desktop\test\dist\hello.exe
6325 INFO: Building EXE from out00-EXE.toc completed successfully.

Referências

• https://blog.f-secure.com/how-to-decompile-any-python-binary/
• VVS Discord Stealer Usando Pyarmor para Obfuscation and Detection Evasion

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks

• Confira os planos de assinatura!
• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
• Compartilhe truques de hacking enviando PRs para o HackTricks e HackTricks Cloud repositórios do github.