Sandboxing avec Cuckoo - cuckoosandbox.org

Intérêt pour l'internaute

Les composants de l'hôte Cuckoo sont entièrement écrits en Python, il est donc nécessaire d'avoir une version appropriée de Python installée. À ce stade, nous ne prenons pleinement en charge que Python 2.7. Les anciennes versions de Python et Python 3 ne sont pas prises en charge par nous (bien que la prise en charge de Python 3 soit sur notre liste TODO avec une faible priorité).

Lire : Installation Préparation de l'hôte Conditions requises.

Cuckoo Sandbox est le principal système d'analyse automatisée de logiciels malveillants open source. Vous pouvez y soumettre n'importe quel fichier suspect (ou non) et en quelques minutes Cuckoo fournira un rapport détaillé décrivant le comportement du fichier lorsqu'il est exécuté dans un environnement réaliste, mais isolé.

Les logiciels malveillants sont le couteau suisse des cybercriminels et de tout autre adversaire de votre entreprise ou organisation.

En ces temps d'évolution, il ne suffit pas de détecter et de supprimer les artefacts de logiciels malveillants : il est d'une importance vitale de comprendre leur fonctionnement afin de comprendre le contexte, les motivations et les objectifs d'une violation.

Cuckoo Sandbox est un logiciel gratuit qui automatise la tâche d'analyse de tout fichier malveillant sous Windows, macOS, Linux et Android.

Cuckoo Sandbox est un système d'analyse de malwares (ou pas) automatisé avancé, extrêmement modulaire et 100% open source avec des possibilités d'application infinies. Par défaut, il est capable de :

• Analysez de nombreux fichiers, malveillants ou pas (exécutables, documents bureautiques, fichiers PDF, e-mails, etc.) ainsi que des sites Web, malveillants ou pas, sous des environnements virtualisés Windows, Linux, macOS et Android.

• Tracez les appels d'API et les comportements généraux de l’objet analysé et distribution de ces traces en informations et signatures de haut niveau compréhensibles par tous.

• Videz et analysez le trafic réseau, même lorsqu'il est chiffré avec SSL / TLS. Avec la prise en charge du routage réseau natif pour supprimer tout le trafic ou le router via InetSIM, une interface réseau ou un VPN.

• Effectuez une analyse avancée de la mémoire du système virtualisé infecté via Volatility ainsi que sur une granularité de mémoire de processus à l'aide de YARA.

En raison de la nature open source de Cuckoo et de sa conception modulaire étendue, il est possible de personnaliser n'importe quel aspect de l'environnement d'analyse, du traitement des résultats d'analyse et de l'étape de rapport. Cuckoo vous fournit toutes les exigences pour intégrer facilement le bac à sable dans votre cadre et votre backend existants comme vous le souhaitez, avec le format que vous souhaitez, et tout cela sans exigences de licence.

En théorie, sous le système d'exploitation Windows, seuls les fichiers dont l’extension est .exe sont susceptibles de contenir du code exécutable et environ 170 types de fichiers sont à risque.

Lorsqu'un fichier est envoyé en analyse dans un sandbox (un bac à sable), il est ouvert en appelant la fonction « CreateProcess », donc peu importe le nom du fichier et son extension, si son contenu est exécutable, il sera exécuté, même s'il se cache derrière un nom quelconque, même s'il s'appelle recettedecuisine.txt (extension txt).