Cuckoo SandBox的安装、配置和应用

依赖安装

在安装和配置Cuckoo之前，需要安装依赖的一些软件和库。首先创建一个文件夹存放cuckoo所需要的文件。

这里是需要的库和需要安装的文件。

安装 Python 库 (Ubuntu/Debian-based)

Cuckoo的管理组件完全由Python脚本编写，所以就需要适合的Python版本。 完全兼容的Python版本是 2.7。

老版本的Python和Python 3（未来可能会支持） 目前都是不支持的。

以下一些通过Apt安装的软件都是必须的:

$ sudo apt-get install python python-pip python-dev libffi-dev libssl-dev
$ sudo apt-get install python-virtualenv python-setuptools
$ sudo apt-get install libjpeg-dev zlib1g-dev swig

如果要使用基于Django开发的Web界面, 则MongoDB是必须要安装的:

$ sudo apt-get install mongodb

如要使用PostgreSQL数据库(推荐), PostgreSQL也必须安装:

$ sudo apt-get install postgresql libpq-dev

Yara 和 Pydeep 是可选的插件。如果选择安装的话，具体安装步骤可以参考他们的官网。这里使用源码安装。

安装pydeep

安装依赖

$apt-get install build-essential git libpcre3 libpcre3-dev libpcre++-dev  python-dev libfuzzy-dev

进入pydeep目录

$cd pydeep
$python setup.py build 
$sudo apt-get install python-dev libfuzzy-dev  #遇到编译错误用这条命令解决pydeep编译问题
$python setup.py install

进入ssdeep

$ cd ssdeep-2.13
$ ./configure
$ make
$ sudo make install

#确认安装无误
$ ssdeep -V
Then proceed by installing pydeep:

然后ssdeep -V和 pip show pydeep看看安装是否成功

安装yara

进入yaya

$cd yara-3.5.0/
$./bootstrap.sh

如果想修改yara的源代码还需要flex,bison这两个包用于语法解析

$apt-get install flex bison

接着编译安装yara:

$./configure
$make
$make install

然后测试是否安装成功

$make check

如果注意前面的编译安装结果的话会发现有缺少OpenSSL库的警告，这里我们安装一下

$apt-get install libssl-dev

接下来安装yara-python

$pip install yara-python

安装 tcpdump

Tcpdump用于抓取恶意软件运行过程中产生的所有流量。

安装命令:

$ sudo apt-get install tcpdump apparmor-utils
$ sudo aa-disable /usr/sbin/tcpdump

AppArmor 只有当PCAP文件生成没有权限的时候才需要，可以参考 Permission denied for tcpdump

禁用了AppArmor 的Linux的平台下， 比如Debian， 仅需要安装 tcpdump:

$ sudo apt-get install tcpdump

Tcpdump需要root权限，如果不想运行在root用户下，需要做以下设置:

$ sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump

可以用以下命令验证是否配置正确:

$ getcap /usr/sbin/tcpdump
/usr/sbin/tcpdump = cap_net_admin,cap_net_raw+eip

如果没有setcap命令， 则需要安装下面的包:

$ sudo apt-get install libcap2-bin

或者 (不推荐)

$ sudo chmod +s /usr/sbin/tcpdump

需要注意的是 setcap 命令不安全，有可能造成提权漏洞，建议将Cuckoo安装在专有的环境里。

可能出现的问题：
getcap /usr/sbin/tcpdump没有输出先查看当前的tcpdump的模式：

grep tcpdump /sys/kernel/security/apparmor/profiles
/usr/sbin/tcpdump (enforce)
上面显示是enforce模式，所以有这个问题，把它改成complain模式：
aa-complain /usr/sbin/tcpdump -
再次使用tcpdump 并写文件的时候就没问题了。
想在转换成enforce模式时：
aa-enforce /usr/sbin/tcpdump

【注】 通过命令aa-complain或aa-enforce可以切换profile文件的状态。这需要先安装对应的utils工具:
sudo apt-get install apparmor-utils

安装 Volatility

Volatility 用于分析内存转储文件的可选工具. Cuckoo与Volatility配合，可以更深度和全面的分析，可以防止恶意软件利用rookit技术逃逸沙箱的监控。

为了能够工作正常，Cuckoo要求Volatility版本不低于 2.3， 推荐最新版本2.5。 可以从官网下载 official repository.

可以查阅Volatility官方文档的安装说明.

#先安装依赖
$ sudo pip install openpyxl
$ sudo pip install ujson
$ sudo pip install pycrypto
$ sudo pip install distorm3
$ sudo pip install pytz 

#然后安装volatility
#将volatility压缩包解压
$ cd volatility
$ python setup.py build
$ python setup.py install

#确认安装无误
$ python vol.py -h

安装 M2Crypto

当前 M2Crypto 库需要 SWIG 支持. Ubuntu/Debian-like 系统下可以通过以下命令安装:

$ sudo apt-get install swig

SWIG 安装好之后，通过以下命令安装 M2Crypto:

$ sudo pip install m2crypto

安装 guacd（可选）

guacd 是RDP，SSH，VNC等远程控制的代理层， 是Cuckoo的Web界面的远程终端中使用，可选。
没有它，远程控制功能就无法使用，版本要求0.9.9及以上。我们推荐安装最新版本 使用如下命令安装:

$ sudo apt install libguac-client-rdp0 libguac-client-vnc0 libguac-client-ssh0 guacd

如果只需要远程桌面功能，则可以跳过 libguac-client-vnc0 和 libguac-client-ssh0 两个包.

如果使用了较老的Linux发行版，又想使用最新的guacd，那只能自己动手编译:

$ sudo apt -y install libcairo2-dev libjpeg-turbo8-dev libpng-dev libossp-uuid-dev libfreerdp-dev
$ mkdir /tmp/guac-build && cd /tmp/guac-build
$ wget https://www.apache.org/dist/guacamole/0.9.14/source/guacamole-server-0.9.14.tar.gz
$ tar xvf guacamole-server-0.9.14.tar.gz && cd guacamole-server-0.9.14
$ ./configure --with-init-dir=/etc/init.d
$ make && sudo make install && cd ..
$ sudo ldconfig
$ sudo /etc/init.d/guacd start

安装requests包(用于http请求)

#进入requests
$cd requests
$python setup.py install

安装dateutil包

使用pip安装

$pip install python-dateutil

客户机安装

安装VirtualBox（直接安装）：

$ sudo apt-get install virtualbox

打开虚拟机的时候需要用root权限打开，因为cuckoo是root权限，所以如果是非root权限的virtualbox，对于cuckoo来说是无法进行监听的。

然后使用VirtualBox安装windows xp

安装完成后安装增强功能工具（类似于VMware的VMware Tools）

安装完增强工具后我们才能对宿主机和客户机建立共享文件夹

建立文件夹依次选择VirtualBox菜单项中的设备-共享文件夹,设置如下:

配置客户机:

1.为windows安装python2.7

为系统添加python环境

2.安装PIL(Python截屏库)

3.关闭windows自动更新

4.关闭windows防火墙

6.Ubuntu .cuckoo/agent目录下的agent.py拷贝到客户机中的c:python27目录下去,并将agent.py重命名为agent.pyw,这样运行的时候就不会显示控制台窗口了

7.将Python根目录下的agent.pyw的快捷方式放到启动文件夹中去

运行agent.pyw后,我们使用netstat -an命令会发现本地的8000端口正在处于监听状态中

接着将IP配置为192.168.56.101

对客户机做一个快照,取名为cuckoostart-1（名字自己取）,后面对沙箱的配置中会用到。

配置该虚拟机的网络模式为Host-only: 宿主机192.168.56.1 客户机192.168.56.101,然后客户机就能与ubuntu通信。

此时Guest是无法访问互联网的，所以要在Host中设置IP转发，利用虚拟网卡做代理转发，接下来回到Ubuntu中,使用Iptables配置宿主机IP的转发和过滤规则:

#开启IP转发
$ sudo -i
$ sysctl -w net.ipv4.ip_forward=1
$ echo 1 > /proc/sys/net/ipv4/ip_forward
#为使重启之后仍然有效
$ gedit /etc/sysctl.conf
#去掉net.ipv4.ip_forward=1 前的注释，然后再执行下面的
$sysctl -p /etc/sysctl.conf

#配置Iptables的规则
$iptables -A FORWARD -o ens33 -i vboxnet1 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT
$iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
$iptables -A POSTROUTING -t nat -j MASQUERADE
$sysctl -w net.ipv4.ip_forward=1

#接着为保证重启之后依然有效
$sudo gedit /etc/network/interfaces
#在最后添加两行
$pre-up iptables-restore < /etc/iptables.rules 
$post-down iptables-save > /etc/iptables.rules 

安装 Cuckoo

安装最新版本的Cuckoo比较简单. 推荐使用 pip 和 [](https://cuckoo-sandbox.readthedocs.io/zh_CN/latest/installation/host/installation.html#id4)setuptools来安装最新版本的Cuckoo。 (一些可能存在的问题 DistributionNotFound / No distribution matching the version..).

（缺少依赖的时候会导致各种问题.建议安装前确定依赖项是否安装完成。）

$ sudo pip install -U pip setuptools
$ sudo pip install -U cuckoo

全局安装Cuckoo是没有问题的，但是 强力推荐 用 virtualenv 来安装

$ virtualenv venv
$ . venv/bin/activate
(venv)$ pip install -U pip setuptools
(venv)$ pip install -U cuckoo

为什么推荐使用 virtualenv 呢:

• Cuckoo的依赖并不是用的最新版本，可能会与系统已有的版本冲突.
• 系统中其他软件的安装，可能会导致Cuckoo的依赖产生问题.
• 使用virtualenv，可以让非root用户也可以安装相关软件.
• 简单来说virtualenv是最佳实践.

配置cuckoo

Cuckoo配置文件的更改是非常重要的一步，否则很可能你的所有安装都无法正常启动。在 .cuckoo/conf/中修改配置文件：

cuckoo.conf

machinery = virtualbox
[resultserver]
ip = 192.168.56.1 #This is the IP address of the host
port = 2042 #leave default unless you have services running

auxiliary.conf

[sniffer]
# Enable or disable the use of an external sniffer (tcpdump) [yes/no].
enabled = yes

# Specify the path to your local installation of tcpdump. Make sure this
# path is correct.
# You can check this using the command: whereis tcpdump
tcpdump = /usr/sbin/tcpdump

# Specify the network interface name on which tcpdump should monitor the
# traffic. Make sure the interface is active.
# The ifconfig command will show you the interface name.
#自己选择的网络名称    
interface = vboxnet1

virtualbox.conf

machines = 你的虚拟机名字

[你的虚拟机名字]
label = 你的虚拟机名字
platform = windows
ip = 192.168.56.101 # IP address of the guest
snapshot = 你创建的快照名字

reporting.conf

[mongodb]
enabled = yes

启动cuckoo

$sudo cuckoo -d

至此，所有的配置都配置完了，此时先运行Web服务

 $sudo cuckoo web runserver

正常运行的话打开http://127.0.0.1:8000，就可以看到cuckoo SandBox的Web页面了。然后打开Cuckoo的服务，cuckoo 若最后一行显示等待分析任务，则说明你安装没问题，如果显示说没有找到CWD位置，则你需要先运行cuckoo -d。

正常运行的话打开http://127.0.0.1:8000，就可以看到cuckoo SandBox的Web页面了。然后打开Cuckoo的服务，cuckoo 若最后一行显示等待分析任务，则说明你安装没问题，如果显示说没有找到CWD位置，则你需要先运行cuckoo -d。

（可能遇到的情况 sudo cuckoo 命令找不到，cuckoo默认是在/home/username/.cuckoo/.local/bin/cuckoo）

把它添加到sudo命令启动

$sudo cp /home/username/.cuckoo/.local/bin/cuckoo  /usr/local/bin

运行情况：

web页面

Cuckoo基本使用

使用如下命令可以启动Cuckoo:

$ sudo cuckoo

启动后，可以看到日志输出，Cuckoo 会在开始的时候，请求 api.cuckoosandbox.org 检查更新。 可以在配置文件中修改 version_check 来关闭更新检查。

启动完成后，Cuckoo 就等着提交文件来分析了。

开始使用之前，如果需要修改Cuckoo的默认配置， 配置目录在 $CWD/conf/ 。 如果添加虚拟机或者修改数据库， 可以参考 客户机的准备。 如果需要WEB界面上看到样本分析报告， $CWD/conf/reporting.conf 中的 mongodb 一定要启用。 参考 Web 界面

接下来我们需要下载 Cuckoo Community， 其中包含了300多个恶意软件行为签名，可用于简化我们对结果的分析。 下载命令如下:

(venv)$ cuckoo community

或者如果有下载好的 community 压缩包， (例如 wget https://github.com/cuckoosandbox/community/archive/master.tar.gz) 可以通过如下命令直接导入:

(venv)$ cuckoo community --file master.tar.gz

至此，我们就可以开始提交样本了， 可以参考 提交工具 。 多个样本可以在一次命令中提交，例如:

(venv)$ cuckoo submit /tmp/sample1.exe /tmp/sample2.exe /tmp/sample3.exe
Success: File "/tmp/sample1.exe" added as task with ID #1
Success: File "/tmp/sample2.exe" added as task with ID #2
Success: File "/tmp/sample3.exe" added as task with ID #3
(venv)$ cuckoo submit --url google.com bing.com
Success: URL "google.com" added as task with ID #4
Success: URL "bing.com" added as task with ID #5

样本的分析，依赖 cuckoo 的守护进程。 默认情况下， 直接运行守护进程， 不限制同时分析的样本数量（可通过 -m 参数指定)

# This command is equal to what used to be "./cuckoo.py -d".
(venv)$ cuckoo -d

如果需要从WEB界面查看界面分析结果， 则需要运行cuckoo WEB进程。 对于测试环境或者并发数较小的环境， 可以通过内置的 Django WEB server 来运行， 实际环境下，我们更推荐基于高性能的WEB服务器来部署， 可以参考 Web 界面部署

(venv)$ cuckoo web
Performing system checks...

System check identified no issues (0 silenced).
March 31, 2017 - 12:10:46
Django version 1.8.4, using settings 'cuckoo.web.web.settings'
Starting development server at http://localhost:8000/
Quit the server with CONTROL-C.

提交工具

最简单的提交样本分析的方式是通过 cuckoo submit 命令， 例如:

$ cuckoo submit --help
Usage: cuckoo submit [OPTIONS] [TARGET]...

  Submit one or more files or URLs to Cuckoo.

Options:
  -u, --url           Submitting URLs instead of samples
  -o, --options TEXT  Options for these tasks
  --package TEXT      Analysis package to use
  --custom TEXT       Custom information to pass along this task
  --owner TEXT        Owner of this task
  --timeout INTEGER   Analysis time in seconds
  --priority INTEGER  Priority of this task
  --machine TEXT      Machine to analyze these tasks on
  --platform TEXT     Analysis platform
  --memory            Enable memory dumping
  --enforce-timeout   Don't terminate the analysis early
  --clock TEXT        Set the system clock
  --tags TEXT         Analysis tags
  --baseline          Create baseline task
  --remote TEXT       Submit to a remote Cuckoo instance
  --shuffle           Shuffle the submitted tasks
  --pattern TEXT      Provide a glob-pattern when submitting a
                      directory
  --max INTEGER       Submit up to X tasks at once
  --unique            Only submit samples that have not been
                      analyzed before
  -d, --debug         Enable verbose logging
  -q, --quiet         Only log warnings and critical messages
  --help              Show this message and exit.

通过 cuckoo submit 可以指定文件或者目录， 如果是目录的话， 会遍历并提交里面的文件。

对于提交为样本类型会在后续的代码中自动分析， 可以参考 Analysis Packages

Example: 提交一个本地的二进制文件:

$ cuckoo submit /path/to/binary

Example: 提交一个 URL:

$ cuckoo submit --url http://www.example.com

Example: 提交一个本地的二进制文件并且指定了较高的优先级:

$ cuckoo submit --priority 5 /path/to/binary

Example: 提交一个本地的二进制文件并且设置最长分析时间是60秒:

$ cuckoo submit --timeout 60 /path/to/binary

Example: 提交一个本地的二进制文件并且指定文件类型:

$ cuckoo submit --package <name of package> /path/to/binary

Example: 提交一个本地的二进制文件并且指定网络路由方式是tor:

$ cuckoo submit -o route=tor /path/to/binary

Example: 提交一个本地的二进制文件并且指定文件类型，以及指定二进制文件运行时携带的参数:

$ cuckoo submit --package exe --options arguments=--dosomething /path/to/binary.exe

Example: 提交一个本地的二进制文件并且指定运行的虚拟机是 cuckoo:

$ cuckoo submit --machine cuckoo1 /path/to/binary

Example: 提交一个本地的二进制文件并且指定虚拟机平台是windows:

$ cuckoo submit --platform windows /path/to/binary

Example: 提交一个本地的二进制文件并且要求完整内存dumps:

$ cuckoo submit --memory /path/to/binary

Example: 提交一个本地的二进制文件并且强制使用最大的单个样本分析时长:

$ cuckoo submit --enforce-timeout /path/to/binary

Example: 提交一个本地的二进制文件并且指定设置虚拟机的系统日期时间:

$ cuckoo submit --clock "01-24-2001 14:41:20" /path/to/binary

Example: 提交一个本地的二进制文件并且要求内存分析， 且设置内存分析的参数

$ cuckoo submit --memory --options free=yes /path/to/binary

API

REST API 的使用方法参考 REST API.

分布式 Cuckoo

分布式的Cuckoo 可以参考 Distributed Cuckoo.

病毒样本测试

1.提交蓝屏病毒

web页面显示：

分析：结果分析:提交方式可以通过命令行和 web 进行提交。对上传的蓝屏病毒进行分析，计算出病毒程序的md5等特征值，可以在腾讯哈勃分析系统中查找对应MD5 值并分析。蓝屏病毒主要是运行了 cmd.exe，并对系统中的 taskkill.exe 进行破 环。 taskkill.exe 是系统正常运转、各种办公软件、游戏运行所不可或缺的重要文 件。在缺失 taskkill.exe 的情况下会导致无故蓝屏等。

总结

在搭建 cuckoo 的过程中，主要是参考了官方的搭建文档，根据官网文档搭 建还是挺顺利了，但遇到了一些问题，在安装配置时缺少某些依赖库，所以在安装库的时候，都采用了源码安装。在遇到配置错误时，能够根据提示的错误来修正，最后完成了 cuckoo 的搭建。在进行病毒样本提交分析时，学会了如何查看分析报告，并从中分析病毒的特征。

参考资料：
cuckoo官网:https://cuckoo-sandbox.readthedocs.io/zh_CN/latest/
其他链接：https://www.jianshu.com/p/f623fa0bebf9
https://www.freebuf.com/articles/system/123816.html