À propos de CuckooAutoinstall

Cuckoo Sandbox <http://www.cuckoosandbox.org/>_. script d'auto-installation

Qu'est-ce que Cuckoo Sandbox ?

Cuckoo Sandbox est un système d'analyse de logiciels malveillants.

Qu'est-ce que cela signifie ?

Cela signifie que vous pouvez lui soumettre n'importe quel fichier suspect et obtenir un rapport contenant des détails sur le comportement du fichier dans un environnement isolé.

Nous avons créé ce script chez Buguroo Offensive Security <http://www.buguroo.com>_ initialement pour rendre l'installation de cuckoo, une tâche douloureuse, plus rapide, plus facile et sans douleur.

Systèmes pris en charge

La majeure partie de ce script ne dépend pas de la distribution (même s'il faut bien sûr l'exécuter sous GNU/Linux), mais l'installation des paquets ne prend actuellement en charge que les dérivés de Debian.

De plus, étant donné que nous utilisons la version propriétaire de virtualbox (la plupart du temps, l'édition OSE ne répond pas à nos besoins), ce script exige qu'il y ait un dépôt Debian dans Virtualbox Downloads <http://downloads.virtualbox.org>_ pour votre distribution. Forcer la distribution dans le fichier de configuration devrait permettre de le faire fonctionner sur celles qui ne sont pas prises en charge.

Auteurs

David Reguera García - Dreg <http://github.com/David-Reguera-Garcia-Dreg>_ - [email protected] <mailto:[email protected]>_ - @fr33project <https://twitter.com/fr33project>_

David Francos Cuartero - XayOn <http://github.com/Xayon>_ - [email protected] <mailto:[email protected]>_ - @davidfrancos <https://twitter.com/davidfrancos>_

Guide de démarrage rapide

• Clonez ce dépôt et exécutez le script : bash cuckooautoinstall.bash

.. image:: /../screenshots/cuckooautoinstall.png?raw=true

Si vous nous faites confiance, ainsi qu'à votre configuration réseau et à bien d'autres variables (ce qui n'est absolument pas recommandé) et si vous êtes aussi fainéant que possible, vous pouvez l'exécuter en tant qu'utilisateur normal si vous avez sudo configuré :

::

wget -O - https://raw.githubusercontent.com/buguroo/cuckooautoinstall/master/cuckooautoinstall.bash | bash

Le script accepte un fichier de configuration sous la forme d'un simple script bash avec des options telles que :

::

SUDO="sudo"
TMPDIR=$(mktemp -d)
RELEASE=$(lsb_release -cs)
CUCKOO_USER="cuckoo"
CUSTOM_PKGS=""
ORIG_DIR=$( cd "$( dirname "${BASH_SOURCE[0]}"   )" && pwd   )
VOLATILITY_URL="http://downloads.volatilityfoundation.org/releases/2.4/volatility-2.4.tar.gz"
VIRTUALBOX_REP="deb http://download.virtualbox.org/virtualbox/debian $RELEASE contrib"
CUCKOO_REPO='https://github.com/cuckoobox/cuckoo'
YARA_REPO="https://github.com/plusvic/yara"
JANSSON_REPO="https://github.com/akheron/jansson"

LOG=$(mktemp)
UPGRADE=false

Vous pouvez remplacer n'importe laquelle de ces variables dans le fichier de configuration.

Il accepte des paramètres

::

┌─────────────────────────────────────────────────────────┐
│                CuckooAutoInstall 0.2                    │
│ David Reguera García - Dreg <[email protected]>      │
│ David Francos Cuartero - XayOn <[email protected]>   │
│            Buguroo Offensive Security - 2015            │
└─────────────────────────────────────────────────────────┘
Usage: cuckooautoinstall.bash [--verbose|-v] [--help|-h] [--upgrade|-u]

    --verbose   Print output to stdout instead of temp logfile
    --help      This help menu
    --upgrade   Use newer volatility, yara and jansson versions (install from source)

Pour la plupart des configurations, --upgrade est toujours recommandé.

• Ajoutez un mot de passe (en tant que root) pour l'utilisateur 'cuckoo' créé par le script

::

passwd cuckoo

• Créez les machines virtuelles http://docs.cuckoosandbox.org/en/latest/installation/guest/ ou importez des machines virtuelles

::

VBoxManage import virtual_machine.ova

• Ajoutez aux machines virtuelles l'option HostOnly en utilisant vboxnet0

::

vboxmanage modifyvm “virtual_machine" --hostonlyadapter1 vboxnet0

• Configurez cuckoo (http://docs.cuckoosandbox.org/en/latest/installation/host/configuration/ )

• Exécutez cuckoo

::

cd ~cuckoo/cuckoo python cuckoo.py

.. image:: /../screenshots/github%20cuckoo%20working.png?raw=true

• Exécutez également django en utilisant le port 6969

::

cd ~cuckoo/cuckoo/web python manage.py runserver 0.0.0.0:6969

.. image:: /../screenshots/github%20django.png?raw=true

Fonctionnalités du script

• Installe par défaut Cuckoo Sandbox avec tous les éléments optionnels : yara, ssdeep, django ...
• Installe les dernières versions de ssdeep, yara, pydeep-master et jansson.
• Résout les problèmes courants lors de l'installation : ldconfigs, autoreconfs...
• Installe par défaut virtualbox et crée l'hostonlyif.
• Crée l'utilisateur 'cuckoo' sur le système et ajoute également cet utilisateur au groupe vboxusers.
• Active mongodb dans conf/reporting.conf
• Crée les règles iptables et le transfert IP pour permettre l'accès à Internet dans les machines virtuelles cuckoo

::

sudo iptables -A FORWARD -o eth0 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT
sudo iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A POSTROUTING -t nat -j MASQUERADE
sudo sysctl -w net.ipv4.ip_forward=1

Permet d'exécuter tcpdump depuis un utilisateur non root

::

sudo apt-get -y install libcap2-bin
sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump

Corrige l'erreur "TEMPLATE_DIRS setting must be a tuple" lors de l'exécution de python manage.py avec DJANGO version >= 1.6. Remplacement dans web/web/settings.py

::

    TEMPLATE_DIRS = (
        "templates"
    )

devient

::

    TEMPLATE_DIRS = (
        ("templates"),
    )

Installer cuckoo en tant que démon

Pour cela, nous recommandons l'utilisation de supervisor.

Installer supervisor

::

sudo apt-get install supervisor

Modifiez /etc/supervisor/conf.d/cuckoo.conf , comme

::

    [program:cuckoo]
    command=python cuckoo.py
    directory=/home/cuckoo
    User=cuckoo

    [program:cuckoo-api]
    command=python api.py
    directory=/home/cuckoo/utils
    user=cuckoo

Rechargez supervisor

::

sudo supervisorctl reload

iptables

Comme vous l'avez probablement déjà remarqué, les règles iptables ne persistent pas après un redémarrage. Si vous voulez les rendre persistantes, nous recommandons iptables-save et iptables-restore

::

iptables-save > your_custom_iptables_rules
iptables-restore < your_custom_iptables_rules

Aide supplémentaire

Vous voudrez peut-être lire :

• Remote <./doc/Remote.rst>_ - Activer l'administration à distance des VM et de VBox
• OVA <./doc/OVA.rst>_ - Travailler avec des images OVA
• Antivm <./doc/Antivm.rst>_ Comment faire face aux malwares qui utilisent des techniques de détection de VM
• VMcloak <./doc/Vmcloak.rst>_ VMCloak - Gestion des machines virtuelles Windows de Cuckoo

À faire

• Améliorer la documentation

Contribuer

Ce projet est sous licence GPL3+ comme vous pouvez le voir dans le fichier "LICENSE". Toutes les pull requests sont les bienvenues, en gardant à l'esprit que :

• Le style de script doit être conforme au style actuel
• Les nouvelles fonctionnalités doivent être dans des branches séparées (encore mieux si c'est git-flow =) )
• Veuillez vérifier que tout fonctionne correctement avant de soumettre une PR.

Nous répondrons probablement aux PRs dans un délai de 7 à 14 jours, soyez patient.