Cuckoo惡意軟件自動化分析平臺搭建
0x00 cuckoo概述
Cuckoo是一款開源的自動化惡意軟件分析系統(tǒng)，目前主要用于分析windows平臺下的惡意軟件，但其框架同時支持Linux和Mac OS。cuckoo能夠自動化獲取如下信息：
- 能夠跟蹤惡意軟件進(jìn)程及其產(chǎn)生的所有進(jìn)程的win32 API調(diào)用記錄；
- 能夠檢測惡意軟件的文件創(chuàng)建、刪除和下載；
- 能夠獲取惡意軟件進(jìn)程的內(nèi)存鏡像；
- 能夠獲取系統(tǒng)全部內(nèi)存鏡像，方便其他工具進(jìn)行進(jìn)一步分析；
- 能夠以pacp格式抓取網(wǎng)絡(luò)數(shù)據(jù)；
- 能夠抓取惡意軟件運(yùn)行時的截圖。
Cuckoo支持分析多種文件格式，包括windows可執(zhí)行文件，DLL文件，PDF文檔，Office文檔，惡意URL，HTML文件，PHP文件，CPL文件，VBS，ZIP壓縮文件，jar文件，python程序等。這些完全依賴于他的分析模塊。
下圖是cuckoo的架構(gòu)圖，非常清晰。Cuckoo依賴于下面的虛擬機(jī)進(jìn)行實際的分析，然后通過虛擬網(wǎng)絡(luò)將分析結(jié)果傳輸給cuckoo host。所以cuckoo的運(yùn)行至少需要一個虛擬化環(huán)境。目前cuckoo能夠支持vmware，virtualbox，kvm，qemu，xen，avd等主流虛擬化平臺。
Cuckoo的架構(gòu)是高度模塊化的，只要我們添加不同的分析模塊，cuckoo就能夠完成不同系統(tǒng)平臺下的分析工作。
0x01 環(huán)境搭建
測試環(huán)境是host:kali 2.0 x64，guest：windows xp sp3 en。
1.1 安裝
獲取cuckoo，我們從github上獲取***的cuckoo：
Git clone https://github.com/cuckoobox/cuckoo.git
安裝cuckoo依賴的python庫：
$ sudo apt-get install python python-pip $ sudo apt-get install mongodb $ sudo pip install -r requirements.txt
此處安裝可能會出現(xiàn)問題，是系統(tǒng)所安裝的python庫與pip安裝的庫版本不一致導(dǎo)致的，因為系統(tǒng)所安裝的python庫往往比較舊，而pip安裝的庫比較新，且pip安裝的其他庫依賴較新的庫，所以導(dǎo)致問題。解決方法是將系統(tǒng)的python庫卸載，不過系統(tǒng)的某些python庫存在依賴，需要用dpkg --purge --force-all 包名來強(qiáng)制卸載，然后再用pip來安裝即可解決。
$ sudo apt-get install tcpdump $ sudo apt-get install libcap2-bin
如果想進(jìn)行內(nèi)存鏡像分析，需要安裝volatility。
$ sudo apt-get install volatility
啟用截圖功能，需要Python Image庫
$ sudo pip install PIL
這里我們采用virtualbox虛擬化平臺，所以需要下載并安裝virtualbox。
1.2 配置
軟件安裝好后，需要先創(chuàng)建一個虛擬機(jī)，可以利用virtualbox圖形界面進(jìn)行操作。Cuckoo在運(yùn)行的時候，需要在host上監(jiān)聽一個地址，用于獲取報告信息，而這個地址虛擬機(jī)必須能夠訪問的到。這里采用的網(wǎng)絡(luò)配置是將虛擬機(jī)網(wǎng)卡調(diào)整為host-only模式，相當(dāng)于虛擬機(jī)與host之間連接了一根網(wǎng)線。此時，host的網(wǎng)卡列表中會有一個類似vboxnet0的網(wǎng)卡，這就是host與虛擬機(jī)之間通信的網(wǎng)卡。虛擬機(jī)內(nèi)部的ip地址可以自己設(shè)置，只要跟vboxnet0的地址在一個網(wǎng)段即可。默認(rèn)情況下vboxnet0是192.168.56.1。虛擬機(jī)可以是192.168.56.101。
為了讓虛擬機(jī)能夠正常的訪問外網(wǎng)，host還需要進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，參考官方的命令：
iptables -A FORWARD -o eth0 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A POSTROUTING -t nat -j MASQUERADE sysctl -w net.ipv4.ip_forward=1
其中***條命令中的eth0是你host的上網(wǎng)用的真實網(wǎng)卡地址，vboxnet0則是虛擬網(wǎng)卡。
***一條是開啟內(nèi)核數(shù)據(jù)轉(zhuǎn)發(fā)。
裝好虛擬機(jī)系統(tǒng)后，為達(dá)到***的兼容效果，需要將windows虛擬機(jī)的防火墻，自動更新關(guān)閉，然后需要安裝python2.7環(huán)境。并將cuckoo根目錄下agent/agent.py復(fù)制到虛擬機(jī)中。agent.py負(fù)責(zé)虛擬機(jī)到主機(jī)的數(shù)據(jù)傳輸，可以將其添加到startup文件夾下，開機(jī)自動啟動，如果不想出現(xiàn)黑窗口，可以修改文件名agent.py到agent.pyw。運(yùn)行agent.pyw后，此時的虛擬機(jī)環(huán)境基本搭建完成了，當(dāng)然，如果需要分析office或者pdf等，那么還需要安裝這些軟件?，F(xiàn)在可以創(chuàng)建一個純凈的系統(tǒng)快照了，以備后用。
虛擬機(jī)配置完成之后，就是配置cuckoo了。Cuckoo的配置文件在conf目錄下，該目錄下有很多配置文件，其中：
auxiliary.conf 是輔助配置模塊，用于輔助其他功能如sniffer，mitm。這里可以不用配置。
cuckoo.conf是主要配置文件，最主要的是machinery用于指定我們使用的虛擬機(jī)配置文件，默認(rèn)是virtualbox，該文件同樣位于conf目錄下，名字是virtualbox.conf。當(dāng)然我們可以自己定義自己的虛擬機(jī)配置文件，并放在conf目錄下，命名規(guī)則是一樣的。另外重要的選項是ip和port，用于指定接收分析結(jié)果的服務(wù)器。該地址必須能夠讓虛擬機(jī)訪問到，一般設(shè)置為虛擬網(wǎng)卡的地址，比如上面配置的vboxnet0地址192.168.56.1，端口默認(rèn)就可以。
memory.conf是內(nèi)存鏡像配置選項，主要用于Volatility分析，這里可以不用配置。
processing.conf是結(jié)果處理配置模塊，其中的配置選項直接影響最終報告的內(nèi)容，這里可以不用配置。
reporting.conf用于配置報告生成的方式，這里可以不用配置。
***我們在配置一下cuckoo的web界面。需要開啟reporting.conf中的mongodb。然后開啟mongodb服務(wù)：systemctl enable mongodb;systemctl start mongodb。現(xiàn)在可以啟動web服務(wù)web/manage.py runserver。服務(wù)運(yùn)行于127.0.0.1:8000。
1.3 運(yùn)行
Python cuckoo.py 運(yùn)行cuckoo分析系統(tǒng)。如下圖：
啟動后cuckoo開始等待分析任務(wù)。添加分析任務(wù)使用根目錄下的utils/的submit.py。具體用法可以看幫助，這里主要介紹利用web界面來添加任務(wù)及查看報告。
在瀏覽器中打開127.0.0.1:8000
點(diǎn)擊submit添加任務(wù)，同時還有一些高級選項，如果需要內(nèi)存分析，請選中Full Memory Dump。提交后，cuckoo就會開始自動分析，期間virtualbox會啟動并運(yùn)行程序。最終分析結(jié)果：
最上面就是cuckoo分析的類型，包括靜態(tài)分析，行為分析，網(wǎng)絡(luò)分析等。
0x02 結(jié)束語
本文主要介紹了cuckoo的基本特性和安裝，配置方法。利用cuckoo能夠快速的分析惡意程序的部分行為，提高對惡意程序分析的效率。后續(xù)文章會繼續(xù)分析cuckoo的程序結(jié)構(gòu)及模塊開發(fā)。
