Detux: El Sandbox Multiplataforma para Linux

Introducción:

Detux es un sandbox desarrollado para realizar análisis de tráfico de malware Linux y capturar los IOCs mediante dicho análisis. Se utiliza el hipervisor QEMU para emular Linux (Debian) para varias arquitecturas de CPU.

Actualmente se soportan las siguientes CPUs:

• x86
• x86-64
• ARM
• MIPS
• MIPSEL

Use la versión en vivo ahora: http://detux.org

¿Qué hay en esta versión?

Esta versión de Detux contiene el script para ejecutar un binario/script de Linux en una arquitectura de CPU específica. No se preocupe si no sabe qué plataforma es, está en el script, el paquete Magic ayuda a detectar la arquitectura de la CPU de forma automatizada. x86 es la versión de CPU por defecto, esto se puede ajustar a una diferente en el archivo de configuración.

Esta versión proporciona el informe de análisis en un formato DICT, que se puede personalizar fácilmente para insertarlo en bases de datos NOSQL.

Se ha proporcionado un script de ejemplo que demuestra el uso de la librería del sandbox.

¿Qué contiene el informe?

- Análisis Estático
    -- Cadenas básicas extraídas del binario
    -- Información ELF generada por los comandos readelf
    -- report.py se puede modificar para añadir más comandos de terceros para analizar el binario y añadir el resultado al DICT.

- Análisis Dinámico
    -- Los pcaps capturados se analizan con DPKT para extraer los IOCs e información legible de los paquetes.

Requisitos

• Paquetes del sistema

  • python 2.7
  • qemu
  • pcaputils
  • sudo
  • libcap2-bin
  • bridge-utils

• Librerías Python (Preferible usar un entorno virtual)

  • pexpect
  • paramiko
  • python-magic

Asegúrese de cumplir con los requisitos anteriores antes de usar Detux. Algunas dependencias pueden variar de un sistema operativo a otro.

Arquitectura

• Anfitrión (El anfitrión puede ser una VM o una máquina física)
  • QEMU
  • dumpcap
  • Scripts de DETUX

Arquitectura de Red

- NIC1 : Esta interfaz es para acceder al Anfitrión
- NIC2 : Interfaz puenteada con las VMs del Sandbox QEMU. Se puede redirigir el tráfico de la interfaz a WHONIX, REMNUX o una Puerta de Enlace personalizada para filtrar/permitir el acceso a Internet para las VMs del Sandbox.

Configuración de las VMs:

Descarga de Imágenes de VM Linux

Agradecimientos especiales a aurel quien ha subido imágenes preconstruidas de VM QEMU Debian para todas las arquitecturas de CPU posibles. Las imágenes de VM se encuentran en: https://people.debian.org/~aurel32/qemu/, el mismo enlace contiene ejemplos de comandos para invocar las imágenes de VM.

Puede usar el siguiente script para descargar automáticamente las imágenes de VM a la carpeta "qemu" de Detux.

#x86
wget https://people.debian.org/~aurel32/qemu/i386/debian_wheezy_i386_standard.qcow2 -P qemu/x86/1/


#x86-64
wget https://people.debian.org/~aurel32/qemu/amd64/debian_wheezy_amd64_standard.qcow2 -P qemu/x86-64/1/

#arm
wget https://people.debian.org/~aurel32/qemu/armel/debian_wheezy_armel_standard.qcow2 -P qemu/arm/1/
wget https://people.debian.org/~aurel32/qemu/armel/initrd.img-3.2.0-4-versatile -P qemu/arm/1/
wget https://people.debian.org/~aurel32/qemu/armel/vmlinuz-3.2.0-4-versatile -P qemu/arm/1/

#mips
wget https://people.debian.org/~aurel32/qemu/mips/vmlinux-3.2.0-4-4kc-malta -P qemu/mips/1/
wget https://people.debian.org/~aurel32/qemu/mips/debian_wheezy_mips_standard.qcow2 -P qemu/mips/1/

#mipsel
wget https://people.debian.org/~aurel32/qemu/mipsel/vmlinux-3.2.0-4-4kc-malta -P qemu/mipsel/1/
wget https://people.debian.org/~aurel32/qemu/mipsel/debian_wheezy_mipsel_standard.qcow2 -P qemu/mipsel/1/

Configuración de sudoers para la ejecución de qemu

Detux usa SSH para comunicarse con las VMs, por lo tanto, esto es necesario actualmente para que las VMs tengan capacidad de red. Considerando que los binarios listados están en la misma ruta, puede añadir las siguientes líneas a /etc/sudoers (solo si es un usuario no root):

Cmnd_Alias  QEMU_CMD    =   /usr/bin/qemu-*, /sbin/ip, /sbin/ifconfig, /sbin/brctl
<nombre de usuario de detux aquí> ALL = (ALL) NOPASSWD: QEMU_CMD

Cambie las rutas a los binarios si difieren para usted.

Configuración de red

Añada la siguiente configuración a /etc/qemu-ifup, haga una copia de seguridad del original si ya tiene uno:

#! /bin/sh
# Script to bring a network (tap) device for qemu up.
# The idea is to add the tap device to the same bridge
# as we have default routing to.

# in order to be able to find brctl
PATH=$PATH:/sbin:/usr/sbin
ip=$(which ip)
ifconfig=$(which ifconfig)

echo "Starting"  $1
if [ -n "$ip" ]; then
   ip link set "$1" up
else
   brctl=$(which brctl)
   if [ ! "$ip" -o ! "$brctl" ]; then
     echo "W: $0: not doing any bridge processing: neither ip nor brctl utility not found" >&2
     exit 0
   fi
   ifconfig "$1" 0.0.0.0 up
fi

switch=$(ip route ls | \
    awk '/^default / {
          for(i=0;i<NF;i++) { if ($i == "dev") { print $(i+1); next; } }
         }'
        )
    if [ -d /sys/class/net/br0/bridge/. ]; then
        if [ -n "$ip" ]; then
          ip link set "$1" master br0
        else
          brctl addif br0 "$1"
        fi
        exit    # exit with status of the previous command
    fi

echo "W: $0: no bridge for guest interface found" >&2

Considerando que eth0 es la interfaz con la que desea puentear sus VMs, puede eliminar las configuraciones para eth0 y usar las siguientes configuraciones en /etc/network/interfaces:

auto br0
iface br0 inet dhcp
  bridge_ports eth0
  bridge_maxwait 0

También puede especificar una dirección estática que usaba para eth0.

Configuración de sus VMs

Navegue hasta la carpeta donde se encuentran las imágenes de su VM para cada Imagen QEMU, por ejemplo, para ARM es:

<su carpeta detux>/qemu/arm/1/

Para cada imagen, siga las instrucciones de arranque de VM dadas en "https://people.debian.org/~aurel32/", para iniciar la VM. Sin embargo, si es un usuario no root, deberá usar sudo.

Comandos para Arrancar las VMs (Reemplace con la MAC que desee):

#x86
sudo qemu-system-i386 -hda qemu/x86/1/debian_wheezy_i386_standard.qcow2 -vnc 127.0.0.1:5901 -net nic,macaddr=<MACADDR> -net tap -monitor stdio


#x86-64
sudo qemu-system-x86_64 -hda qemu/x86-64/1/debian_wheezy_amd64_standard.qcow2 -vnc 127.0.0.1:5901 -net nic,macaddr=<MACADDR> -net tap -monitor stdio

#arm
sudo qemu-system-arm -M versatilepb -kernel qemu/arm/1/vmlinuz-3.2.0-4-versatile -initrd qemu/arm/1/initrd.img-3.2.0-4-versatile -hda qemu/arm/1/debian_wheezy_armel_standard.qcow2 -append "root=/dev/sda1" -vnc 127.0.0.1:5901 -net nic,macaddr=<MACADDR> -net tap -monitor stdio

#mips
sudo qemu-system-mips -M malta -kernel qemu/mips/1/vmlinux-3.2.0-4-4kc-malta -hda qemu/mips/1/debian_wheezy_mips_standard.qcow2 -append "root=/dev/sda1 console=tty0" -vnc 127.0.0.1:5901 -net nic,macaddr=<MACADDR> -net tap -monitor stdio

#mipsel
sudo qemu-system-mipsel -M malta -kernel qemu/mipsel/1/vmlinux-3.2.0-4-4kc-malta -hda qemu/mipsel/1/debian_wheezy_mipsel_standard.qcow2 -append "root=/dev/sda1 console=tty0" -vnc 127.0.0.1:5901 -net nic,macaddr=<MACADDR> -net tap -monitor stdio

Detux requiere una instantánea de VM preconfigurada con direcciones IP y configuración SSH.