EXE文件捆绑 加密 下载器汉化版 pe-union-master汉化版源码 包含编译成品

PEunion（即 pe-union-master 项目）是一个用于加密、捆绑和下载可执行文件的安全研究工具。它的核心功能是将可执行文件（PE）加密并打包进一个“存根”（Stub）程序中，运行时在内存里解密并执行，以此尝试规避杀毒软件的静态检测。

重要提示：该项目作者明确声明，此工具仅供教育目的使用，不对任何非法恶意软件活动负责。

核心功能详解

1. 加密与低熵打包

它不采用标准加密算法，而是使用专有的4字节 XOR 流密码来加密载荷。为了进一步降低被检测的风险，加密后的数据中会随机插入空字节，从而降低整体熵值，使基于熵值的检测手段难以生效。

2. 双层执行架构

这是其设计的精髓，旨在最小化被扫描的特征面：

第一层（存根）：暴露在外的可执行文件。它只包含极简功能：检测是否运行在模拟器/沙箱中，以及解密第二层数据。由于代码量少且功能单一，不易触发杀软警报。

第二层（Shellcode）：真正包含“可疑”逻辑（如载荷执行、API 调用）的代码。这部分代码在静态扫描时是加密且不可读的，仅在运行时才被解密执行。

3. 多种载荷执行方式

根据载荷类型和目标需求，存根支持不同的执行策略：

RunPE（进程镂空）：针对原生 PE 文件，通过创建挂起进程、替换其内存映像的方式隐蔽执行。

.NET 调用：针对 .NET 可执行文件，使用反射机制在内存中直接加载执行。

释放到磁盘：对于没有已知恶意特征签名的“合法”文件，可以选择将其写入磁盘再运行。

下载器：载荷可以不嵌入文件，而是在运行时从远程 URL 下载，以减小体积或动态更新内容。

4. 捆绑与伪装

文件捆绑：支持将多个文件编译进同一个存根中，实现一次性分发。

文件伪装（RTLO）：内置工具利用 Unicode 的“从右至左覆盖”字符（U+202e），可以构造出扩展名显示错乱的文件名（例如让 .exe 文件看起来像 .jpg），诱导用户点击。

5. 反检测与混淆

模拟器检测：存根在解密载荷前会先检查环境，若判定为分析沙箱则停止工作。

代码混淆：原生存根会插入无意义的“类 NOP”指令；.NET 存根则使用混淆的 Unicode 字符替换变量名，并在运行时才解密字符串常量，增加逆向分析难度。

6. 自销毁与配置

自销毁（Melt）：支持配置存根在完成载荷执行后删除自身文件，清理痕迹。

自定义元数据：用户可以自定义生成文件的图标、版本信息、清单文件（Manifest）等，使其看起来更像正常软件。