PE-bear (Portable)

PE 파일 뷰 및 분석

PE-bear는 PE32 및 PE64 형식의 실행 파일을 열어 헤더, 섹션, 임포트, 익스포트, 리소스 등의 구조를 시각적으로 표시합니다. 섹션 레이아웃을 그래픽으로 보여주어 파일 구조를 한눈에 파악할 수 있습니다.

패커 시그니처 인식

내장된 시그니처 데이터베이스를 통해 UPX, ASPack, PECompact 등 알려진 패커를 자동으로 탐지하고 표시합니다. 이는 멀웨어 분석 초기 단계에서 패킹 여부를 빠르게 판단하는 데 유용합니다.

빠른 디스어셈블러

Capstone 및 udis86 라이브러리를 기반으로 한 디스어셈블러를 제공하여 선택한 RVA 또는 파일 오프셋부터 코드를 디스어셈블할 수 있습니다. 사용자는 디스어셈블 모드를 수동으로 전환하여 16비트, 32비트, 64비트 중 적절한 비트 수를 설정할 수 있습니다.

두 PE 파일 비교 기능

사용자는 두 개의 PE 파일을 불러와 섹션, 임포트, 익스포트 등을 비교할 수 있습니다. 차이점이 있는 항목은 강조 표시되어 분석 효율을 높입니다.

섹션 및 임포트 편집 (제한적)

새로운 섹션이나 임포트 엔트리를 추가할 수 있는 기능을 제공하지만, 기존 엔트리의 수정이나 삭제는 지원되지 않습니다. 임포트 추가 시 이름 RVAs의 충돌을 피하기 위해 충분한 공간이 있는 영역을 선택해야 합니다.

다운로드·설치 방법

PE-bear (Portable)는 설치가 필요 없는 포터블 버전으로 배포됩니다. 공식 웹사이트에서 ZIP 파일을 다운로드한 후 압축을 해제하면 바로 실행할 수 있습니다. Chocolatey 패키지 관리자를 통해서도 설치 가능하며, 패키지 이름은 ‘chocolatey.pebear’입니다. 다운로드 후 별도의 설치 과정 없이 PE-bear.exe 파일을 더블클릭하여 실행하면 됩니다.

기본 사용법

프로그램을 실행한 후 메뉴바의 ‘File’ → ‘Open’을 클릭하여 분석하고자 하는 PE 파일을 선택합니다. 파일 로드 후 왼쪽 패널에서 섹션, 임포트, 익스포트 등을 트리 형태로 확인할 수 있으며, 중앙 영역에서는 선택된 항목의 헥스 덤프 또는 디스어셈블 코드가 표시됩니다. 디스어셈블러를 사용하려면 코드 영역에서 우클릭 후 ‘Disassemble’를 선택하거나, 메뉴에서 ‘View’ → ‘Disassembler’를 활성화할 수 있습니다. 두 파일 비교를 위해서는 ‘Tools’ → ‘Compare PE files’ 메뉴를 통해 두 번째 파일을 불러올 수 있습니다.

이런 경우에 유용합니다

멀웨어 분석가가 의심스러운 실행 파일의 구조를 빠르게 파악해야 할 때 PE-bear는 유용합니다. 특히 패커 여부를 시그니처로 판단하거나, 정상 파일과 변형된 파일 간의 차이를 비교해야 하는 시나리오에서 실질적인 도움을 줍니다. 또한, PE 파일 형식에 대한 학습이나 교육 목적으로도 활용될 수 있으며, 포터블 특성 덕분에 다양한 환경에서 제약 없이 사용할 수 있습니다.