Analisando o Comportamento de Malware com Cuckoo Sandbox

Quando Usar

• Uma amostra suspeita passou pela triagem de análise estática e requer observação comportamental em um ambiente controlado
• Você precisa capturar tráfego de rede, arquivos descartados, modificações de registro e chamadas de API da execução de um malware
• Determinar a cadeia de infecção completa, incluindo downloads de payload de segundo estágio e mecanismos de persistência
• Gerar assinaturas comportamentais e regras YARA com base na atividade de tempo de execução observada
• Análise automatizada de amostras de malware em massa que exigem relatórios consistentes

Não use quando a amostra for uma variante conhecida de ransomware que pode se espalhar por compartilhamentos de rede em uma sandbox mal configurada; verifique o isolamento de rede primeiro.

Pré-requisitos

• Cuckoo Sandbox 3.x instalado em um servidor de análise dedicado (Ubuntu 22.04 recomendado)
• VMs convidadas configuradas com snapshots do Windows 10/11 (agente Cuckoo instalado, snapshots tirados em estado limpo)
• VirtualBox, KVM ou VMware configurados como o backend de virtualização do Cuckoo
• Rede isolada com InetSim ou FakeNet-NG para simular serviços de internet
• Suricata ou Snort integrados para correspondência de assinatura em nível de rede durante a análise
• Espaço em disco suficiente para capturas PCAP e dumps de memória (mínimo de 500 GB recomendado)

Fluxo de Trabalho

Passo 1: Enviar Amostra para o Cuckoo

Envie a amostra de malware para análise automatizada:

# Submit via command line
cuckoo submit /path/to/suspect.exe

# Submit with specific analysis timeout (300 seconds)
cuckoo submit --timeout 300 /path/to/suspect.exe

# Submit with specific VM and analysis package
cuckoo submit --machine win10_x64 --package exe --timeout 300 /path/to/suspect.exe

# Submit via REST API
curl -F "file=@suspect.exe" -F "timeout=300" -F "machine=win10_x64" \
  http://localhost:8090/tasks/create/file

# Submit URL for analysis
curl -F "url=http://malicious-site.com/payload" -F "timeout=300" \
  http://localhost:8090/tasks/create/url

# Check task status
curl http://localhost:8090/tasks/view/1 | jq '.task.status'

Passo 2: Monitorar a Execução em Tempo Real

Acompanhe o progresso da análise e observe o comportamento ao vivo:

# Watch Cuckoo analysis log
tail -f /opt/cuckoo/log/cuckoo.log

# Monitor analysis task status
cuckoo status

# Access Cuckoo web interface for live screenshots and process tree
# Navigate to http://localhost:8080/analysis/<task_id>/

Eventos comportamentais chave para observar durante a execução:

• Cadeia de criação de processos (relações pai-filho)
• Tentativas de conexão de rede a IPs externos
• Arquivos descartados em diretórios temporários ou pastas do sistema
• Modificações de registro nas chaves Run ou entradas de serviço
• Chamadas de API relacionadas à criptografia (CryptEncrypt), injeção (WriteProcessMemory) ou evasão

Passo 3: Analisar Atividade de Processos

Revise a árvore de processos e o rastreamento de chamadas de API do relatório do Cuckoo:

# Parse Cuckoo JSON report programmatically
import json

with open("/opt/cuckoo/storage/analyses/1/reports/report.json") as f:
    report = json.load(f)

# Process tree analysis
for process in report["behavior"]["processes"]:
    pid = process["pid"]
    ppid = process["ppid"]
    name = process["process_name"]
    print(f"PID: {pid} PPID: {ppid} Name: {name}")

    # Extract suspicious API calls
    for call in process["calls"]:
        api = call["api"]
        if api in ["CreateRemoteThread", "VirtualAllocEx", "WriteProcessMemory",
                    "NtCreateThreadEx", "RegSetValueExA", "URLDownloadToFileA"]:
            args = {arg["name"]: arg["value"] for arg in call["arguments"]}
            print(f"  [!] {api}({args})")

Passo 4: Revisar Atividade de Rede

Examine conexões de rede, consultas DNS e requisições HTTP:

# Network analysis from Cuckoo report
network = report["network"]

# DNS resolutions
print("DNS Queries:")
for dns in network.get("dns", []):
    print(f"  {dns['request']} -> {dns.get('answers', [])}")

# HTTP requests
print("\nHTTP Requests:")
for http in network.get("http", []):
    print(f"  {http['method']} {http['uri']} (Host: {http['host']})")
    if http.get("body"):
        print(f"    Body: {http['body'][:200]}")

# TCP connections
print("\nTCP Connections:")
for tcp in network.get("tcp", []):
    print(f"  {tcp['src']}:{tcp['sport']} -> {tcp['dst']}:{tcp['dport']}")

# Extract PCAP for deeper Wireshark analysis
# PCAP location: /opt/cuckoo/storage/analyses/1/dump.pcap

Passo 5: Examinar Mudanças no Sistema de Arquivos e Registro

Documente mecanismos de persistência e arquivos descartados:

…