ctxis/capeMalware-Konfiguration und Payload-Extraktion
Mit dem bevorstehenden Ende der Lebensdauer von Python 2 (1. Januar 2020) wird CAPEv1 auslaufen. Bitte aktualisieren Sie so bald wie möglich auf die Python 3 Version.
CAPE ist eine Malware-Sandbox. Es ist von Cuckoo abgeleitet und darauf ausgelegt, den Prozess der Malware-Analyse zu automatisieren, mit dem Ziel, Payloads und Konfigurationen aus Malware zu extrahieren. Dies ermöglicht es CAPE, Malware anhand von Payload-Signaturen zu erkennen und viele Ziele der Malware-Reverse-Engineering und Bedrohungsanalyse zu automatisieren.
Es gibt eine Community-Version online, die für jeden kostenlos ausprobiert werden kann:
https://cape.contextis.com/submit
CAPE kann eine Reihe von Malware-Techniken oder -Verhalten sowie spezifische Malware-Familien bereits beim ersten Lauf auf einer Probe erkennen. Diese Erkennung kann dann einen weiteren Lauf mit einem spezifischen Paket auslösen, um den Malware-Payload und möglicherweise dessen Konfiguration zur weiteren Analyse zu extrahieren.
CAPE funktioniert, indem es Malware über einen maßgeschneiderten Debugger und API-Hooks steuert. Die Erkennung, um ein CAPE-Paket auszulösen, kann auf API- oder Yara-Signaturen basieren. Der Debugger verwendet Yara-Signaturen oder API-Hooks, um Haltepunkte auf einzelnen Anweisungen, Speicherbereichen oder Funktionsaufrufen zu setzen. Sobald ein interessierender Bereich erreicht ist, kann dieser manipuliert und für die Verarbeitung und Analyse sowie möglicherweise die Konfigurationsanalyse ausgelesen werden.
Die Techniken oder Verhalten, die CAPE erkennt und für die es Pakete gibt, umfassen:
Pakete für diese Verhalten werden die injizierten, extrahierten oder dekomprimierten Payloads zur weiteren Analyse ausgeben. Dies ist oft der Malware-Payload in entpackter Form.
CAPE erstellt automatisch einen Prozess-Dump für jeden Prozess oder, im Falle einer DLL, das Modul-Image der DLL im Speicher. Dies ist nützlich für mit einfachen Packern gepackte Samples, bei denen der Modul-Image-Dump oft vollständig entpackt ist. Yara-Signaturen können auf die Prozess-Dumps auslösen und möglicherweise zu einer Einreichung mit einem spezifischen Paket oder einer Konfigurationsanalyse führen.
CAPE hat auch ein Paket, das dynamisch Samples entpacken kann, die 'gehacktes' (modifiziertes) UPX verwenden, das bei Malware-Autoren sehr beliebt ist. Diese Samples werden im CAPE-Debugger ausgeführt, bis ihr OEP (Original Entry Point) erreicht ist, wo sie dann ausgegeben, repariert und ihre Importe automatisch rekonstruiert werden, bereit für die Analyse.
Derzeit hat CAPE spezifische Pakete, die Konfiguration und Payloads für die folgenden Malware-Familien extrahieren:
CAPE hat Konfigurationsparser/Decodierer für die folgenden Malware-Familien, deren Payloads automatisch von einem Verhaltenspaket extrahiert werden:
Viele andere Malware-Familien haben ihre Payloads automatisch von Verhaltenspaketen extrahiert, für die CAPE Yara-Signaturen verwendet, um die Payloads zu erkennen. Diese Liste wächst und umfasst:
Konfigurationsdaten können entweder von Familienpaketen oder in Payloads aus Verhaltenspaketen ausgegeben werden. Die Konfigurationsanalyse kann dann mittels Yara-basierter Erkennung und Konfigurationsparsing durchgeführt werden, basierend auf einem der Konfigurationsparsing-Frameworks von CAPE, dem RATDecoders-Framework von malwareconfig.com und DC3-MWCP (Defense Cyber Crime Center - Malware Configuration Parser). Die vielen Parser/Decodierer von malwareconfig.com sind ebenfalls enthalten, darunter unter anderem: Sakula, DarkComet, PredatorPain und PoisonIvy. Dank an Kevin Breen/TechAnarchy für dieses Framework und die Parser (https://github.com/kevthehermit/RATDecoders) und an DC3 für ihr Framework (https://github.com/Defense-Cyber-Crime-Center/DC3-MWCP). Besonderer Dank an Jason Reaves (@sysopfb) für den TrickBot-Parser und Fabien Perigaud für den PlugX-Parser.
Hilfspakete sind ebenfalls enthalten: 'DumpOnAPI' ermöglicht das Auslesen eines Moduls, wenn es eine bestimmte API-Funktion aufruft, die in der Weboberfläche angegeben werden kann. 'DumpConfigRegion' ermöglicht das Auslesen des Speicherbereichs, der C2-Informationen oder andere Konfigurationsdaten enthält, für häufig verwendete API-Aufrufe. Diese Pakete können nützlich sein, um neuartige Samples oder Konfigurationen schnell zu entpacken/auszulesen. Das 'Trace'-Paket ermöglicht den schnellen Zugriff auf den Debugger, indem es vier Haltepunkte (RVA-Werte) zum Setzen auf Anweisungen akzeptiert, woraufhin eine kurze Anweisungsspur ausgegeben wird. Ein optionaler Parameter 'base-on-api' erlaubt es, die Image-Basis per API-Aufruf zu setzen.
Der CAPE-Debugger ermöglicht das Setzen von Haltepunkten auf Lesen, Schreiben oder Ausführen einer Speicheradresse oder eines Speicherbereichs sowie den Einzelschritt-Modus. Dies ermöglicht eine feine Kontrolle über die Malware-Ausführung, bis es möglich ist, die Speicherbereiche von Interesse auszulesen, die Code oder Konfigurationsdaten enthalten. Haltepunkte können dynamisch durch Paketcode, API-Hooks oder Yara-Signaturen gesetzt werden. Dank der eingebetteten distorm-Bibliothek kann der Debugger die Disassemblierung von Anweisungen im Einzelschritt-Modus oder beim Erreichen von Haltepunkten ausgeben, was zu Anweisungsspuren führt.
Prozesse, Module und Speicherbereiche können von CAPE auf verschiedene Weise über eine einfache API ausgelesen werden. Diese Dumps können dann nach Konfigurationsinformationen durchsucht und analysiert werden. Ausführbare Module werden beim Auslesen repariert und können auch ihre Importe automatisch rekonstruieren (basierend auf Scylla: https://github.com/NtQuery/Scylla). Pakete können basierend auf API-Hooks, dem CAPE-Debugger oder einer Kombination aus beidem geschrieben werden. Es sind derzeit eine Reihe weiterer Verhaltens- und Malware-Familienpakete sowie Parser in Arbeit, also bleiben Sie dran.
Das Repository, das den Code für die Monitor-DLLs enthält, die die Grundlage dieser Pakete bilden, ist ein separates: https://github.com/ctxis/capemon. Dieses Repository ist in Branches für die verschiedenen Pakete organisiert.
CAPE ist von spender-sandbox (https://github.com/spender-sandbox) abgeleitet, das wiederum von Cuckoo Sandbox (https://github.com/cuckoosandbox) abgeleitet ist. Daher Dank an Brad Spengler, Claudio Guarnieri, Jurriaan Bremer und die unzähligen anderen Cuckoo-Mitwirkenden, ohne die diese Arbeit nicht möglich wäre. Es hängt auch von Yara (https://github.com/VirusTotal/yara) von VirusTotal ab. Dank an Decalage (@decalage2) für oletools, Didier Stevens und peepdf (@peepdf) für die PDF-Tools, MalwareCantFly für Vba2Graph und Matt Holley (@mrmolley) für binGraph. Ein großer Dank auch an doomedraven (@D00m3dR4v3n), Sandor Nemes (@sandornemes), Kevin Ross und Enzo (@enzok) für ihre Unterstützung und Beiträge.
Bitte tragen Sie zu diesem Projekt bei, indem Sie helfen, neue Pakete für weitere Malware-Familien, Packer, Techniken oder Konfigurationsparser zu erstellen. Alternativ kontaktieren Sie @CapeSandbox oder Kevin O'Reilly für weitere Details zur CAPE-Entwicklung.
sudo ./kvm-qemu.sh all <username>sudo ./cuckoo.sh all cape* Alle Skripte enthalten help -h, aber bitte überprüfen Sie die Skripte, um zu verstehen, was sie tun.