analyzing-malware-behavior-with-cuckoo-sandbox

Files (4)

• LICENSE
• SKILL.md
• api-reference.md · references/
• agent.py · scripts/

SKILL.md (first lines)

# 使用 Cuckoo Sandbox 分析恶意软件行为

## 适用场景

- 可疑样本通过静态分析分类后，需要在受控环境中进行行为观察
- 需要捕获恶意软件执行期间的网络流量、文件投放、注册表修改和 API 调用
- 确定完整的感染链，包括第二阶段载荷下载和持久化机制
- 基于观察到的运行时活动生成行为签名和 YARA 规则
- 对批量恶意软件样本进行自动化分析，要求一致的报告输出

**不适用于**在配置错误的沙箱中通过网络共享传播的已知勒索软件变种；请先验证网络隔离。

## 前置条件

- Cuckoo Sandbox 3.x 安装在专用分析服务器上（推荐 Ubuntu 22.04）
- 配置了 Windows 10/11 快照的客户虚拟机（安装 Cuckoo agent，在干净状态下拍取快照）
- VirtualBox、KVM 或 VMware 配置为 Cuckoo 虚拟化后端
- 隔离网络，使用 InetSim 或 FakeNet-NG 模拟互联网服务
- 集成 Suricata 或 Snort，用于分析期间的网络级签名匹配
- 足够的磁盘空间用于 PCAP 捕获和内存转储（推荐最少 500 GB）

## 工作流程

### 步骤 1：向 Cuckoo 提交样本

提交恶意软件样本进行自动化分析：

```bash
# 通过命令行提交
cuckoo submit /path/to/suspect.exe

# 提交并指定分析超时时间（300 秒）
cuckoo submit --timeout 300 /path/to/suspect.exe

# 提交并指定虚拟机和分析包
cuckoo submit --machine win10_x64 --package exe --timeout 300 /path/to/suspect.exe

# 通过 REST API 提交
curl -F "file=@suspect.exe" -F "timeout=300" -F "machine=win10_x64" \
  http://localhost:8090/tasks/create/file

# 提交 URL 进行分析
curl -F "url=http://malicious-site.com/payload" -F "timeout=300" \
  http://localhost:8090/tasks/create/url

# 检查任务状态
curl http://localhost:8090/tasks/view/1 | jq '.task.status'
```

### 步骤 2：实时监控执行过程

跟踪分析进度并观察实时行为：

```bash
# 查看 Cuckoo 分析日志
tail -f /opt/cuckoo/log/cuckoo.log

# 监控分析任务状态
cuckoo status

# 访问 Cuckoo Web 界面查看实时截图和进程树
# 导航到 http://localhost:8080/analysis/<task_id>/
```

执行期间需关注的关键行为事件：
- 进程创建链（父子进程关系）
- 向外部 IP 发起的网络连接尝试
- 在临时目录或系统文件夹中投放文件
- 对 Run 键或服务条目的注册表修改
- 与加密（CryptEncrypt）、注入（WriteProcessMemory）或逃避相关的 API 调用

### 步骤 3：分析进程活动

检查 Cuckoo 报告中的进程树和 API 调用跟踪：

```python
# 以编程方式解析 Cuckoo JSON 报告
import json

with open("/opt/cuckoo/storage/analyses/1/reports/report.json") as f:
    report = json.load(f)

# 进程树分析
for process in report["behavior"]["processes"]:
    pid = process["pid"]
    ppid = process["ppid"]
    name = process["process_name"]
    print(f"PID: {pid} PPID: {ppid} Name: {name}")

    # 提取可疑 API 调用
    for call in process["calls"]:
        api = call["api"]
        if api in ["CreateRemoteThread", "VirtualAllocEx", "WriteProcessMemory",
                    "NtCreateThreadEx", "RegSetValueExA", "URLDownloadToFileA"]:
            args = {arg["name"]: arg["value"] for arg in call["arguments"]}
            print(f"  [!] {api}({args})")
```

### 步骤 4：审查网络活动

检查网络连接、DNS 查询和 HTTP 请求：

```python
# 从 Cuckoo 报告中提取网络分析
network = report["network"]

# DNS 解析
print("DNS 查询：")
for dns in network.get("dns", []):
    print(f"  {dns['request']} -> {dns.get('answers', [])}")

# HTTP 请求
print("\nHTTP 请求：")
for http in network.get("http", []):
    print(f"  {http['method']} {http['uri']}（Host：{http['host']}）")
    if http.get("body"):
        print(f"    Body：{http['body'][:200]}")

# TCP 连接

From killvxk/cybersecurity-skills-zh, Apache-2.0.

More from killvxk/cybersecurity-skills-zh