{ "metadata": { "name": "", "signature": "sha256:2be5cdaf470fd899906559dbee0bc65a6c4c90a9b6842c2839c6097c2c214593" }, "nbformat": 3, "nbformat_minor": 0, "worksheets": [ { "cells": [ { "cell_type": "markdown", "metadata": { "slideshow": { "slide_type": "slide" } }, "source": [ "
\n", "# Mach-O Binary Data Analysis\n", "In this notebook we're going to explore, understand, and classify Mach-O files as being 'benign' or 'malicious'. We'll start by talking how we can extract the artifacts we are interested in. Then we will explore the data, apply machine learning algorithms to the data, and the finally use those results to further explore the data.\n", "\n", " | LC_CODE_SEGMENT_SPLIT_INFO | \n", "LC_CODE_SIGNATURE | \n", "LC_DATA_IN_CODE | \n", "LC_DYLD_INFO | \n", "LC_DYLD_INFO_ONLY | \n", "LC_DYLIB_CODE_SIGN_DRS | \n", "LC_DYSYMTAB | \n", "LC_FUNCTION_STARTS | \n", "LC_ID_DYLIB | \n", "LC_LOAD_DYLIB | \n", "LC_LOAD_DYLINKER | \n", "LC_LOAD_WEAK_DYLIB | \n", "LC_MAIN | \n", "LC_REEXPORT_DYLIB | \n", "LC_RPATH | \n", "LC_SEGMENT | \n", "LC_SEGMENT_64 | \n", "LC_SOURCE_VERSION | \n", "LC_SYMTAB | \n", "LC_UNIXTHREAD | \n", "\n", " |
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
0 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "NaN | \n", "NaN | \n", "NaN | \n", "4 | \n", "1 | \n", "1 | \n", "NaN | \n", "... | \n", "
1 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "NaN | \n", "9 | \n", "1 | \n", "NaN | \n", "1 | \n", "NaN | \n", "NaN | \n", "NaN | \n", "4 | \n", "1 | \n", "1 | \n", "NaN | \n", "... | \n", "
2 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "NaN | \n", "9 | \n", "1 | \n", "NaN | \n", "1 | \n", "NaN | \n", "NaN | \n", "4 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "... | \n", "
3 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "NaN | \n", "5 | \n", "1 | \n", "NaN | \n", "1 | \n", "NaN | \n", "NaN | \n", "NaN | \n", "4 | \n", "1 | \n", "1 | \n", "NaN | \n", "... | \n", "
4 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "1 | \n", "NaN | \n", "1 | \n", "NaN | \n", "NaN | \n", "NaN | \n", "4 | \n", "1 | \n", "1 | \n", "NaN | \n", "... | \n", "
5 rows \u00d7 148 columns
\n", "\n", " | LC_CODE_SEGMENT_SPLIT_INFO | \n", "LC_CODE_SIGNATURE | \n", "LC_DATA_IN_CODE | \n", "LC_DYLD_INFO | \n", "LC_DYLD_INFO_ONLY | \n", "LC_DYLIB_CODE_SIGN_DRS | \n", "LC_DYSYMTAB | \n", "LC_FUNCTION_STARTS | \n", "LC_ID_DYLIB | \n", "LC_LOAD_DYLIB | \n", "LC_LOAD_DYLINKER | \n", "LC_LOAD_WEAK_DYLIB | \n", "LC_MAIN | \n", "LC_REEXPORT_DYLIB | \n", "LC_RPATH | \n", "LC_SEGMENT | \n", "LC_SEGMENT_64 | \n", "LC_SOURCE_VERSION | \n", "LC_SYMTAB | \n", "LC_UNIXTHREAD | \n", "\n", " |
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
0 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "4 | \n", "1 | \n", "1 | \n", "0 | \n", "... | \n", "
1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "0 | \n", "9 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "4 | \n", "1 | \n", "1 | \n", "0 | \n", "... | \n", "
2 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "0 | \n", "9 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "4 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "... | \n", "
3 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "0 | \n", "5 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "4 | \n", "1 | \n", "1 | \n", "0 | \n", "... | \n", "
4 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "4 | \n", "1 | \n", "1 | \n", "0 | \n", "... | \n", "
5 rows \u00d7 148 columns
\n", "\n", " | LC_CODE_SIGNATURE | \n", "LC_DATA_IN_CODE | \n", "LC_DYLD_INFO | \n", "LC_DYLD_INFO_ONLY | \n", "LC_DYSYMTAB | \n", "LC_ENCRYPTION_INFO | \n", "LC_FUNCTION_STARTS | \n", "LC_ID_DYLIB | \n", "LC_LAZY_LOAD_DYLIB | \n", "LC_LOAD_DYLIB | \n", "LC_LOAD_DYLINKER | \n", "LC_SEGMENT | \n", "LC_SEGMENT_64 | \n", "LC_SYMTAB | \n", "LC_TWOLEVEL_HINTS | \n", "LC_UNIXTHREAD | \n", "LC_UUID | \n", "LC_VERSION_MIN_IPHONEOS | \n", "LC_VERSION_MIN_MACOSX | \n", "MH_BINDATLOAD | \n", "\n", " |
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
0 | \n", "0 | \n", "0 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "0 | \n", "8 | \n", "1 | \n", "0 | \n", "4 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "... | \n", "
1 | \n", "0 | \n", "0 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "1 | \n", "0 | \n", "8 | \n", "0 | \n", "0 | \n", "3 | \n", "1 | \n", "0 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "... | \n", "
2 | \n", "1 | \n", "0 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "0 | \n", "2 | \n", "1 | \n", "0 | \n", "4 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "... | \n", "
3 | \n", "1 | \n", "0 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "0 | \n", "2 | \n", "1 | \n", "4 | \n", "0 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "0 | \n", "0 | \n", "... | \n", "
4 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "11 | \n", "0 | \n", "4 | \n", "0 | \n", "1 | \n", "0 | \n", "0 | \n", "1 | \n", "0 | \n", "1 | \n", "0 | \n", "... | \n", "
5 rows \u00d7 153 columns
\n", "\n", " | label | \n", "symbol string | \n", "
---|---|---|
0 | \n", "bad | \n", "__mh_execute_header | \n", "
1 | \n", "bad | \n", "_AuthorizationCreate | \n", "
2 | \n", "bad | \n", "_AuthorizationExecuteWithPrivileges | \n", "
3 | \n", "bad | \n", "_BIO_ctrl | \n", "
4 | \n", "bad | \n", "_BIO_f_base64 | \n", "
5 rows \u00d7 2 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
H1\\x8d5A`\\x02 | \n", "4836 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "4836 | \n", "3570.141890 | \n", "2935.283635 | \n", "1265.858110 | \n", "0.000000 | \n", "
L\\x89\\xe7\\xff\\x158`\\x02 | \n", "4836 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "4836 | \n", "3570.141890 | \n", "2935.283635 | \n", "1265.858110 | \n", "0.000000 | \n", "
__ZStL8__ioinit | \n", "160 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "160 | \n", "118.118838 | \n", "97.114430 | \n", "41.881162 | \n", "0.000000 | \n", "
___tcf_0 | \n", "113 | \n", "6 | \n", "0.949580 | \n", "0.050420 | \n", "119 | \n", "87.850886 | \n", "56.894804 | \n", "31.149114 | \n", "-19.764316 | \n", "
__ZN5boost6systemL14posix_categoryE | \n", "92 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "92 | \n", "67.918332 | \n", "55.840797 | \n", "24.081668 | \n", "0.000000 | \n", "
__ZN5boost6systemL11native_ecatE | \n", "92 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "92 | \n", "67.918332 | \n", "55.840797 | \n", "24.081668 | \n", "0.000000 | \n", "
__ZN5boost6systemL10errno_ecatE | \n", "92 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "92 | \n", "67.918332 | \n", "55.840797 | \n", "24.081668 | \n", "0.000000 | \n", "
__GLOBAL__I_a | \n", "94 | \n", "1 | \n", "0.989474 | \n", "0.010526 | \n", "95 | \n", "70.133060 | \n", "55.065291 | \n", "24.866940 | \n", "-6.427078 | \n", "
___cxx_global_var_init | \n", "90 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "90 | \n", "66.441847 | \n", "54.626867 | \n", "23.558153 | \n", "0.000000 | \n", "
__Z41__static_initialization_and_destruction_0ii | \n", "111 | \n", "7 | \n", "0.940678 | \n", "0.059322 | \n", "118 | \n", "87.112643 | \n", "53.796854 | \n", "30.887357 | \n", "-20.782115 | \n", "
___cxx_global_var_init2 | \n", "88 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "88 | \n", "64.965361 | \n", "53.412936 | \n", "23.034639 | \n", "0.000000 | \n", "
___cxx_global_var_init3 | \n", "88 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "88 | \n", "64.965361 | \n", "53.412936 | \n", "23.034639 | \n", "0.000000 | \n", "
___cxx_global_var_init4 | \n", "88 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "88 | \n", "64.965361 | \n", "53.412936 | \n", "23.034639 | \n", "0.000000 | \n", "
___cxx_global_var_init1 | \n", "88 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "88 | \n", "64.965361 | \n", "53.412936 | \n", "23.034639 | \n", "0.000000 | \n", "
__ZN12_GLOBAL__N_12_1E | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
__ZN12_GLOBAL__N_12_5E | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
___cxx_global_var_init8 | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
__ZN12_GLOBAL__N_12_9E | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
__ZN12_GLOBAL__N_12_2E | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
___cxx_global_var_init9 | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
__ZN12_GLOBAL__N_12_8E | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
___cxx_global_var_init11 | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
__ZN12_GLOBAL__N_12_7E | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
___cxx_global_var_init6 | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
___cxx_global_var_init5 | \n", "86 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "86 | \n", "63.488876 | \n", "52.199006 | \n", "22.511124 | \n", "0.000000 | \n", "
25 rows \u00d7 9 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
dyld_stub_binder | \n", "173 | \n", "276 | \n", "0.385301 | \n", "0.614699 | \n", "449 | \n", "331.470990 | \n", "-224.986050 | \n", "117.529010 | \n", "471.251050 | \n", "
radr://5614542 | \n", "107 | \n", "236 | \n", "0.311953 | \n", "0.688047 | \n", "343 | \n", "253.217260 | \n", "-184.343670 | \n", "89.782740 | \n", "456.159232 | \n", "
___stderrp | \n", "35 | \n", "187 | \n", "0.157658 | \n", "0.842342 | \n", "222 | \n", "163.889888 | \n", "-108.069271 | \n", "58.110112 | \n", "437.119579 | \n", "
_strcmp | \n", "51 | \n", "169 | \n", "0.231818 | \n", "0.768182 | \n", "220 | \n", "162.413403 | \n", "-118.148571 | \n", "57.586597 | \n", "363.893795 | \n", "
___stack_chk_fail | \n", "92 | \n", "190 | \n", "0.326241 | \n", "0.673759 | \n", "282 | \n", "208.184453 | \n", "-150.261006 | \n", "73.815547 | \n", "359.272784 | \n", "
___stack_chk_guard | \n", "92 | \n", "190 | \n", "0.326241 | \n", "0.673759 | \n", "282 | \n", "208.184453 | \n", "-150.261006 | \n", "73.815547 | \n", "359.272784 | \n", "
_fprintf | \n", "39 | \n", "156 | \n", "0.200000 | \n", "0.800000 | \n", "195 | \n", "143.957334 | \n", "-101.864515 | \n", "51.042666 | \n", "348.564572 | \n", "
___stdoutp | \n", "8 | \n", "120 | \n", "0.062500 | \n", "0.937500 | \n", "128 | \n", "94.495071 | \n", "-39.505698 | \n", "33.504929 | \n", "306.191801 | \n", "
__mh_execute_header | \n", "218 | \n", "225 | \n", "0.492099 | \n", "0.507901 | \n", "443 | \n", "327.041534 | \n", "-176.838162 | \n", "115.958466 | \n", "298.290746 | \n", "
_printf | \n", "46 | \n", "123 | \n", "0.272189 | \n", "0.727811 | \n", "169 | \n", "124.763023 | \n", "-91.795275 | \n", "44.236977 | \n", "251.565340 | \n", "
___stdinp | \n", "0 | \n", "93 | \n", "0.000000 | \n", "1.000000 | \n", "93 | \n", "68.656575 | \n", "0.000000 | \n", "24.343425 | \n", "249.302811 | \n", "
_fwrite | \n", "55 | \n", "116 | \n", "0.321637 | \n", "0.678363 | \n", "171 | \n", "126.239509 | \n", "-91.393256 | \n", "44.760491 | \n", "220.925324 | \n", "
_fputc | \n", "32 | \n", "101 | \n", "0.240602 | \n", "0.759398 | \n", "133 | \n", "98.186284 | \n", "-71.752361 | \n", "34.813716 | \n", "215.152034 | \n", "
___error | \n", "85 | \n", "127 | \n", "0.400943 | \n", "0.599057 | \n", "212 | \n", "156.507461 | \n", "-103.776912 | \n", "55.492539 | \n", "210.296380 | \n", "
___snprintf_chk | \n", "0 | \n", "78 | \n", "0.000000 | \n", "1.000000 | \n", "78 | \n", "57.582934 | \n", "0.000000 | \n", "20.417066 | \n", "209.092680 | \n", "
_exit | \n", "230 | \n", "189 | \n", "0.548926 | \n", "0.451074 | \n", "419 | \n", "309.323708 | \n", "-136.302148 | \n", "109.676292 | \n", "205.712812 | \n", "
_puts | \n", "27 | \n", "89 | \n", "0.232759 | \n", "0.767241 | \n", "116 | \n", "85.636158 | \n", "-62.330620 | \n", "30.363842 | \n", "191.418329 | \n", "
_optind | \n", "5 | \n", "74 | \n", "0.063291 | \n", "0.936709 | \n", "79 | \n", "58.321176 | \n", "-24.565273 | \n", "20.678824 | \n", "188.693330 | \n", "
_strncmp | \n", "28 | \n", "88 | \n", "0.241379 | \n", "0.758621 | \n", "116 | \n", "85.636158 | \n", "-62.602573 | \n", "30.363842 | \n", "187.278840 | \n", "
_putchar | \n", "6 | \n", "74 | \n", "0.075000 | \n", "0.925000 | \n", "80 | \n", "59.059419 | \n", "-27.441415 | \n", "20.940581 | \n", "186.831670 | \n", "
_optarg | \n", "1 | \n", "69 | \n", "0.014286 | \n", "0.985714 | \n", "70 | \n", "51.676992 | \n", "-7.890025 | \n", "18.323008 | \n", "182.980956 | \n", "
_strtol | \n", "8 | \n", "73 | \n", "0.098765 | \n", "0.901235 | \n", "81 | \n", "59.797662 | \n", "-32.184400 | \n", "21.202338 | \n", "180.506805 | \n", "
_stat$INODE64 | \n", "21 | \n", "80 | \n", "0.207921 | \n", "0.792079 | \n", "101 | \n", "74.562517 | \n", "-53.218850 | \n", "26.437483 | \n", "177.159010 | \n", "
_strlen | \n", "171 | \n", "150 | \n", "0.532710 | \n", "0.467290 | \n", "321 | \n", "236.975920 | \n", "-111.592881 | \n", "84.024080 | \n", "173.859559 | \n", "
___maskrune | \n", "15 | \n", "73 | \n", "0.170455 | \n", "0.829545 | \n", "88 | \n", "64.965361 | \n", "-43.974121 | \n", "23.034639 | \n", "168.405207 | \n", "
25 rows \u00d7 9 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
L\\x89\\xe7\\xff\\x158`\\x02 | \n", "4836 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "4836 | \n", "4428.513498 | \n", "851.367726 | \n", "407.486502 | \n", "0.000000 | \n", "
H1\\x8d5A`\\x02 | \n", "4836 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "4836 | \n", "4428.513498 | \n", "851.367726 | \n", "407.486502 | \n", "0.000000 | \n", "
___cxx_global_var_init_TOKEN | \n", "1560 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "1560 | \n", "1428.552741 | \n", "274.634750 | \n", "131.447259 | \n", "0.000000 | \n", "
__ZN12_GLOBAL_TOKEN | \n", "870 | \n", "5 | \n", "0.994286 | \n", "0.005714 | \n", "875 | \n", "801.271570 | \n", "143.190314 | \n", "73.728430 | \n", "-26.909506 | \n", "
_malloc | \n", "160 | \n", "130 | \n", "0.551724 | \n", "0.448276 | \n", "290 | \n", "265.564292 | \n", "-162.138608 | \n", "24.435708 | \n", "434.587122 | \n", "
_strlen | \n", "171 | \n", "150 | \n", "0.532710 | \n", "0.467290 | \n", "321 | \n", "293.952199 | \n", "-185.279734 | \n", "27.047801 | \n", "513.908873 | \n", "
radr://5614542 | \n", "107 | \n", "236 | \n", "0.311953 | \n", "0.688047 | \n", "343 | \n", "314.098455 | \n", "-230.451818 | \n", "28.901545 | \n", "991.170152 | \n", "
_exit | \n", "230 | \n", "189 | \n", "0.548926 | \n", "0.451074 | \n", "419 | \n", "383.694615 | \n", "-235.413120 | \n", "35.305385 | \n", "634.174947 | \n", "
__mh_execute_header | \n", "218 | \n", "225 | \n", "0.492099 | \n", "0.507901 | \n", "443 | \n", "405.672349 | \n", "-270.778127 | \n", "37.327651 | \n", "808.364717 | \n", "
dyld_stub_binder | \n", "173 | \n", "276 | \n", "0.385301 | \n", "0.614699 | \n", "449 | \n", "411.166783 | \n", "-299.534738 | \n", "37.833217 | \n", "1096.941787 | \n", "
10 rows \u00d7 9 columns
\n", "\n", " | label | \n", "segment names | \n", "
---|---|---|
0 | \n", "bad | \n", "__PAGEZERO | \n", "
1 | \n", "bad | \n", "__TEXT | \n", "
2 | \n", "bad | \n", "__DATA | \n", "
3 | \n", "bad | \n", "__LINKEDIT | \n", "
4 | \n", "bad | \n", "__TEXT | \n", "
5 rows \u00d7 2 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
__OBJC | \n", "55 | \n", "17 | \n", "0.763889 | \n", "0.236111 | \n", "72 | \n", "34.263158 | \n", "52.058877 | \n", "37.736842 | \n", "-27.112400 | \n", "
__IMPORT | \n", "48 | \n", "28 | \n", "0.631579 | \n", "0.368421 | \n", "76 | \n", "36.166667 | \n", "27.174060 | \n", "39.833333 | \n", "-19.739976 | \n", "
__PAGEZERO | \n", "218 | \n", "225 | \n", "0.492099 | \n", "0.507901 | \n", "443 | \n", "210.813596 | \n", "14.615046 | \n", "232.186404 | \n", "-14.148050 | \n", "
\n", " | 3 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "3 | \n", "1.427632 | \n", "4.455573 | \n", "1.572368 | \n", "0.000000 | \n", "
__INIT_STUB | \n", "2 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "2 | \n", "0.951754 | \n", "2.970382 | \n", "1.048246 | \n", "0.000000 | \n", "
.ida | \n", "0 | \n", "4 | \n", "0.000000 | \n", "1.000000 | \n", "4 | \n", "1.903509 | \n", "0.000000 | \n", "2.096491 | \n", "5.168234 | \n", "
__LINKEDIT | \n", "253 | \n", "305 | \n", "0.453405 | \n", "0.546595 | \n", "558 | \n", "265.539474 | \n", "-24.477253 | \n", "292.460526 | \n", "25.609064 | \n", "
__TEXT | \n", "253 | \n", "305 | \n", "0.453405 | \n", "0.546595 | \n", "558 | \n", "265.539474 | \n", "-24.477253 | \n", "292.460526 | \n", "25.609064 | \n", "
__DATA | \n", "253 | \n", "311 | \n", "0.448582 | \n", "0.551418 | \n", "564 | \n", "268.394737 | \n", "-29.889069 | \n", "295.605263 | \n", "31.577645 | \n", "
9 rows \u00d7 9 columns
\n", "\n", " | label | \n", "section names | \n", "
---|---|---|
0 | \n", "bad | \n", "__text | \n", "
1 | \n", "bad | \n", "__symbol_stub1 | \n", "
2 | \n", "bad | \n", "__stub_helper | \n", "
3 | \n", "bad | \n", "__cstring | \n", "
4 | \n", "bad | \n", "__unwind_info | \n", "
5 rows \u00d7 2 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
__dyld | \n", "192 | \n", "53 | \n", "0.783673 | \n", "0.216327 | \n", "245 | \n", "125.706961 | \n", "162.640082 | \n", "119.293039 | \n", "-85.996853 | \n", "
__symbol_stub1 | \n", "55 | \n", "1 | \n", "0.982143 | \n", "0.017857 | \n", "56 | \n", "28.733020 | \n", "71.421483 | \n", "27.266980 | \n", "-6.611353 | \n", "
__symbol_stub | \n", "124 | \n", "62 | \n", "0.666667 | \n", "0.333333 | \n", "186 | \n", "95.434672 | \n", "64.936223 | \n", "90.565328 | \n", "-46.988195 | \n", "
__common | \n", "212 | \n", "156 | \n", "0.576087 | \n", "0.423913 | \n", "368 | \n", "188.816986 | \n", "49.102615 | \n", "179.183014 | \n", "-43.228130 | \n", "
__instance_vars | \n", "43 | \n", "6 | \n", "0.877551 | \n", "0.122449 | \n", "49 | \n", "25.141392 | \n", "46.154870 | \n", "23.858608 | \n", "-16.564627 | \n", "
__cls_refs | \n", "50 | \n", "12 | \n", "0.806452 | \n", "0.193548 | \n", "62 | \n", "31.811557 | \n", "45.219334 | \n", "30.188443 | \n", "-22.141260 | \n", "
__message_refs | \n", "50 | \n", "12 | \n", "0.806452 | \n", "0.193548 | \n", "62 | \n", "31.811557 | \n", "45.219334 | \n", "30.188443 | \n", "-22.141260 | \n", "
__module_info | \n", "51 | \n", "13 | \n", "0.796875 | \n", "0.203125 | \n", "64 | \n", "32.837737 | \n", "44.905221 | \n", "31.162263 | \n", "-22.730721 | \n", "
__meta_class | \n", "44 | \n", "8 | \n", "0.846154 | \n", "0.153846 | \n", "52 | \n", "26.680661 | \n", "44.022056 | \n", "25.319339 | \n", "-18.434031 | \n", "
__symbols | \n", "44 | \n", "8 | \n", "0.846154 | \n", "0.153846 | \n", "52 | \n", "26.680661 | \n", "44.022056 | \n", "25.319339 | \n", "-18.434031 | \n", "
10 rows \u00d7 9 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
__stubs | \n", "28 | \n", "210 | \n", "0.117647 | \n", "0.882353 | \n", "238 | \n", "122.115334 | \n", "-82.474641 | \n", "115.884666 | \n", "249.695077 | \n", "
__got | \n", "29 | \n", "171 | \n", "0.145000 | \n", "0.855000 | \n", "200 | \n", "102.617927 | \n", "-73.295575 | \n", "97.382073 | \n", "192.553326 | \n", "
__unwind_info | \n", "192 | \n", "301 | \n", "0.389452 | \n", "0.610548 | \n", "493 | \n", "252.953191 | \n", "-105.872288 | \n", "240.046809 | \n", "136.218346 | \n", "
__stub_helper | \n", "192 | \n", "273 | \n", "0.412903 | \n", "0.587097 | \n", "465 | \n", "238.586681 | \n", "-83.419129 | \n", "226.413319 | \n", "102.161853 | \n", "
__nl_symbol_ptr | \n", "198 | \n", "274 | \n", "0.419492 | \n", "0.580508 | \n", "472 | \n", "242.178309 | \n", "-79.757266 | \n", "229.821691 | \n", "96.351745 | \n", "
__const | \n", "272 | \n", "341 | \n", "0.443719 | \n", "0.556281 | \n", "613 | \n", "314.523947 | \n", "-79.020434 | \n", "298.476053 | \n", "90.837472 | \n", "
__la_symbol_ptr | \n", "204 | \n", "273 | \n", "0.427673 | \n", "0.572327 | \n", "477 | \n", "244.743757 | \n", "-74.293446 | \n", "232.256243 | \n", "88.250273 | \n", "
__cstring | \n", "242 | \n", "302 | \n", "0.444853 | \n", "0.555147 | \n", "544 | \n", "279.120762 | \n", "-69.070092 | \n", "264.879238 | \n", "79.216414 | \n", "
__eh_frame | \n", "126 | \n", "186 | \n", "0.403846 | \n", "0.596154 | \n", "312 | \n", "160.083967 | \n", "-60.332974 | \n", "151.916033 | \n", "75.299763 | \n", "
__text | \n", "255 | \n", "304 | \n", "0.456172 | \n", "0.543828 | \n", "559 | \n", "286.817107 | \n", "-59.966417 | \n", "272.182893 | \n", "67.216504 | \n", "
10 rows \u00d7 9 columns
\n", "\n", " | entry point section name | \n", "entry point segment name | \n", "entry point instruction type | \n", "label | \n", "
---|---|---|---|---|
0 | \n", "__text | \n", "__TEXT | \n", "push | \n", "bad | \n", "
1 | \n", "-1 | \n", "-1 | \n", "-1 | \n", "bad | \n", "
2 | \n", "__text | \n", "__TEXT | \n", "pop | \n", "bad | \n", "
3 | \n", "__text | \n", "__TEXT | \n", "push | \n", "bad | \n", "
4 | \n", "__text | \n", "__TEXT | \n", "add | \n", "bad | \n", "
5 rows \u00d7 4 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
__text | \n", "214 | \n", "225 | \n", "0.487472 | \n", "0.512528 | \n", "439 | \n", "199.901786 | \n", "29.168132 | \n", "239.098214 | \n", "-27.348302 | \n", "
-1 | \n", "34 | \n", "80 | \n", "0.298246 | \n", "0.701754 | \n", "114 | \n", "51.910714 | \n", "-28.775199 | \n", "62.089286 | \n", "40.552511 | \n", "
COULD NOT FIND | \n", "7 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "7 | \n", "3.187500 | \n", "11.013425 | \n", "3.812500 | \n", "0.000000 | \n", "
3 rows \u00d7 9 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
__TEXT | \n", "214 | \n", "225 | \n", "0.487472 | \n", "0.512528 | \n", "439 | \n", "199.901786 | \n", "29.168132 | \n", "239.098214 | \n", "-27.348302 | \n", "
-1 | \n", "34 | \n", "80 | \n", "0.298246 | \n", "0.701754 | \n", "114 | \n", "51.910714 | \n", "-28.775199 | \n", "62.089286 | \n", "40.552511 | \n", "
COULD NOT FIND | \n", "7 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "7 | \n", "3.187500 | \n", "11.013425 | \n", "3.812500 | \n", "0.000000 | \n", "
3 rows \u00d7 9 columns
\n", "\n", " | bad | \n", "good | \n", "bad_cd | \n", "good_cd | \n", "total_cd | \n", "bad_exp | \n", "bad_g | \n", "good_exp | \n", "good_g | \n", "
---|---|---|---|---|---|---|---|---|---|
push | \n", "155 | \n", "153 | \n", "0.503247 | \n", "0.496753 | \n", "308 | \n", "140.250000 | \n", "30.999557 | \n", "167.750000 | \n", "-28.163277 | \n", "
COULD NOT FIND | \n", "7 | \n", "0 | \n", "1.000000 | \n", "0.000000 | \n", "7 | \n", "3.187500 | \n", "11.013425 | \n", "3.812500 | \n", "0.000000 | \n", "
pop | \n", "5 | \n", "1 | \n", "0.833333 | \n", "0.166667 | \n", "6 | \n", "2.732143 | \n", "6.043517 | \n", "3.267857 | \n", "-2.368269 | \n", "
das | \n", "0 | \n", "8 | \n", "0.000000 | \n", "1.000000 | \n", "8 | \n", "3.642857 | \n", "0.000000 | \n", "4.357143 | \n", "9.722000 | \n", "
add | \n", "42 | \n", "54 | \n", "0.437500 | \n", "0.562500 | \n", "96 | \n", "43.714286 | \n", "-3.360448 | \n", "52.285714 | \n", "3.484173 | \n", "
-1 | \n", "34 | \n", "80 | \n", "0.298246 | \n", "0.701754 | \n", "114 | \n", "51.910714 | \n", "-28.775199 | \n", "62.089286 | \n", "40.552511 | \n", "
6 rows \u00d7 9 columns
\n", "\n", " | Engine | \n", "Count | \n", "Files Scanned | \n", "Percentage | \n", "
---|---|---|---|---|
18 | \n", "Avast | \n", "261 | \n", "261 | \n", "1.000000 | \n", "
40 | \n", "GData | \n", "261 | \n", "261 | \n", "1.000000 | \n", "
28 | \n", "F-Secure | \n", "261 | \n", "261 | \n", "1.000000 | \n", "
25 | \n", "Ad-Aware | \n", "260 | \n", "261 | \n", "0.996169 | \n", "
1 | \n", "MicroWorld-eScan | \n", "260 | \n", "261 | \n", "0.996169 | \n", "
21 | \n", "BitDefender | \n", "260 | \n", "261 | \n", "0.996169 | \n", "
20 | \n", "Kaspersky | \n", "255 | \n", "261 | \n", "0.977011 | \n", "
34 | \n", "Emsisoft | \n", "254 | \n", "261 | \n", "0.973180 | \n", "
2 | \n", "nProtect | \n", "254 | \n", "261 | \n", "0.973180 | \n", "
45 | \n", "ESET-NOD32 | \n", "254 | \n", "261 | \n", "0.973180 | \n", "
31 | \n", "AntiVir | \n", "245 | \n", "261 | \n", "0.938697 | \n", "
27 | \n", "Comodo | \n", "242 | \n", "261 | \n", "0.927203 | \n", "
26 | \n", "Sophos | \n", "240 | \n", "261 | \n", "0.919540 | \n", "
29 | \n", "DrWeb | \n", "240 | \n", "261 | \n", "0.919540 | \n", "
47 | \n", "Ikarus | \n", "238 | \n", "261 | \n", "0.911877 | \n", "
19 | \n", "ClamAV | \n", "231 | \n", "261 | \n", "0.885057 | \n", "
51 | \n", "Qihoo-360 | \n", "230 | \n", "261 | \n", "0.881226 | \n", "
49 | \n", "AVG | \n", "228 | \n", "261 | \n", "0.873563 | \n", "
4 | \n", "CAT-QuickHeal | \n", "226 | \n", "261 | \n", "0.865900 | \n", "
12 | \n", "NANO-Antivirus | \n", "224 | \n", "261 | \n", "0.858238 | \n", "
17 | \n", "TrendMicro-HouseCall | \n", "203 | \n", "261 | \n", "0.777778 | \n", "
14 | \n", "Symantec | \n", "190 | \n", "261 | \n", "0.727969 | \n", "
38 | \n", "Microsoft | \n", "175 | \n", "261 | \n", "0.670498 | \n", "
42 | \n", "AhnLab-V3 | \n", "170 | \n", "261 | \n", "0.651341 | \n", "
0 | \n", "Bkav | \n", "149 | \n", "261 | \n", "0.570881 | \n", "
30 | \n", "VIPRE | \n", "128 | \n", "261 | \n", "0.490421 | \n", "
32 | \n", "TrendMicro | \n", "102 | \n", "261 | \n", "0.390805 | \n", "
5 | \n", "McAfee | \n", "90 | \n", "261 | \n", "0.344828 | \n", "
33 | \n", "McAfee-GW-Edition | \n", "90 | \n", "261 | \n", "0.344828 | \n", "
23 | \n", "ViRobot | \n", "85 | \n", "261 | \n", "0.325670 | \n", "
15 | \n", "Norman | \n", "55 | \n", "261 | \n", "0.210728 | \n", "
46 | \n", "Rising | \n", "49 | \n", "261 | \n", "0.187739 | \n", "
13 | \n", "F-Prot | \n", "42 | \n", "261 | \n", "0.160920 | \n", "
41 | \n", "Commtouch | \n", "41 | \n", "261 | \n", "0.157088 | \n", "
35 | \n", "Jiangmin | \n", "40 | \n", "261 | \n", "0.153257 | \n", "
9 | \n", "K7AntiVirus | \n", "36 | \n", "261 | \n", "0.137931 | \n", "
10 | \n", "K7GW | \n", "35 | \n", "261 | \n", "0.134100 | \n", "
16 | \n", "TotalDefense | \n", "34 | \n", "261 | \n", "0.130268 | \n", "
48 | \n", "Fortinet | \n", "27 | \n", "261 | \n", "0.103448 | \n", "
22 | \n", "Agnitum | \n", "26 | \n", "261 | \n", "0.099617 | \n", "
43 | \n", "VBA32 | \n", "25 | \n", "261 | \n", "0.095785 | \n", "
7 | \n", "Zillya | \n", "21 | \n", "261 | \n", "0.080460 | \n", "
50 | \n", "Panda | \n", "11 | \n", "261 | \n", "0.042146 | \n", "
3 | \n", "CMC | \n", "5 | \n", "261 | \n", "0.019157 | \n", "
36 | \n", "Antiy-AVL | \n", "1 | \n", "261 | \n", "0.003831 | \n", "
24 | \n", "ByteHero | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
44 | \n", "Baidu-International | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
6 | \n", "Malwarebytes | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
11 | \n", "TheHacker | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
39 | \n", "AegisLab | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
37 | \n", "Kingsoft | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
8 | \n", "SUPERAntiSpyware | \n", "0 | \n", "261 | \n", "0.000000 | \n", "
52 rows \u00d7 4 columns
\n", "\n", " | Engine | \n", "Count | \n", "Files Scanned | \n", "Percentage | \n", "
---|---|---|---|---|
51 | \n", "Qihoo-360 | \n", "0 | \n", "266 | \n", "0 | \n", "
50 | \n", "Panda | \n", "0 | \n", "266 | \n", "0 | \n", "
23 | \n", "SUPERAntiSpyware | \n", "0 | \n", "266 | \n", "0 | \n", "
22 | \n", "NANO-Antivirus | \n", "0 | \n", "266 | \n", "0 | \n", "
21 | \n", "BitDefender | \n", "0 | \n", "266 | \n", "0 | \n", "
20 | \n", "Kaspersky | \n", "0 | \n", "266 | \n", "0 | \n", "
19 | \n", "ClamAV | \n", "0 | \n", "266 | \n", "0 | \n", "
18 | \n", "Avast | \n", "0 | \n", "266 | \n", "0 | \n", "
17 | \n", "TrendMicro-HouseCall | \n", "0 | \n", "266 | \n", "0 | \n", "
16 | \n", "TotalDefense | \n", "0 | \n", "266 | \n", "0 | \n", "
15 | \n", "Norman | \n", "0 | \n", "266 | \n", "0 | \n", "
14 | \n", "Symantec | \n", "0 | \n", "266 | \n", "0 | \n", "
13 | \n", "F-Prot | \n", "0 | \n", "266 | \n", "0 | \n", "
12 | \n", "Agnitum | \n", "0 | \n", "266 | \n", "0 | \n", "
11 | \n", "K7AntiVirus | \n", "0 | \n", "266 | \n", "0 | \n", "
15 rows \u00d7 4 columns
\n", "