ctxis/capeEstrazione della configurazione e del payload del malware
Con l'imminente fine del supporto per Python 2 (1 gennaio 2020), CAPEv1 verrà gradualmente dismesso. Si prega di passare alla versione Python 3 il prima possibile.
CAPE è un sandbox per malware. Deriva da Cuckoo ed è progettato per automatizzare il processo di analisi dei malware con l'obiettivo di estrarre payload e configurazioni dal malware. Ciò consente a CAPE di rilevare malware basandosi su firme di payload, oltre ad automatizzare molti degli obiettivi del reverse engineering del malware e dell'intelligence sulle minacce.
Esiste una versione comunitaria online gratuita che chiunque può provare:
https://cape.contextis.com/submit
CAPE può rilevare diverse tecniche o comportamenti malware, nonché famiglie specifiche di malware, fin dal suo primo test su un campione. Questo rilevamento può quindi attivare un'ulteriore esecuzione con un pacchetto specifico, al fine di estrarre il payload del malware e, possibilmente, la sua configurazione, per ulteriori analisi.
CAPE funziona controllando il malware tramite un debugger personalizzato e hook API. Il rilevamento per attivare un pacchetto CAPE può basarsi su API o firme Yara. Il debugger utilizza firme Yara o hook API per consentire l'impostazione di punti di interruzione su singole istruzioni, regioni di memoria o chiamate di funzione. Una volta raggiunta un'area di interesse, può essere manipolata e dumpata per l'elaborazione e l'analisi, e possibilmente per il parsing della configurazione.
Le tecniche o i comportamenti che CAPE rileva e per i quali dispone di pacchetti includono:
I pacchetti per questi comportamenti dumpano i payload iniettati, estratti o decompressi per ulteriori analisi. Spesso si tratta del payload del malware in forma decompressa.
CAPE crea automaticamente un dump del processo per ogni processo, o, nel caso di una DLL, l'immagine del modulo DLL in memoria. Ciò è utile per campioni impacchettati con packer semplici, dove spesso il dump dell'immagine del modulo è completamente decompresso. Le firme Yara possono attivarsi sui dump di processo, portando eventualmente all'invio con un pacchetto specifico o al parsing della configurazione.
CAPE dispone anche di un pacchetto che può decomprimere dinamicamente campioni che utilizzano UPX 'hackerato' (modificato), molto popolare tra gli autori di malware. Questi campioni vengono eseguiti nel debugger di CAPE fino al loro OEP (punto di ingresso originale), dove vengono dumpati, riparati e le loro importazioni vengono automaticamente ricostruite, pronte per l'analisi.
Attualmente CAPE dispone di pacchetti specifici che dumpano configurazioni e payload per le seguenti famiglie di malware:
CAPE dispone di parser/decodificatori di configurazione per le seguenti famiglie di malware, i cui payload vengono automaticamente estratti da un pacchetto comportamentale:
Molte altre famiglie di malware vedono i loro payload automaticamente estratti da pacchetti comportamentali, per i quali CAPE utilizza firme Yara per rilevare i payload. Questa lista è in crescita e include:
I dati di configurazione possono essere prodotti sia dai pacchetti di famiglia, sia dai payload risultanti da pacchetti comportamentali. Il parsing della configurazione può quindi essere eseguito su di essi grazie al rilevamento basato su Yara e al parsing della configurazione basato su uno dei framework di parsing di CAPE, il framework RATDecoders di malwareconfig.com e DC3-MWCP (Defense Cyber Crime Center - Malware Configuration Parser). Sono inclusi anche i numerosi parser/decodificatori di malwareconfig.com, che comprendono tra molti altri: Sakula, DarkComet, PredatorPain e PoisonIvy. Grazie a Kevin Breen/TechAnarchy per questo framework e i parser (https://github.com/kevthehermit/RATDecoders), e a DC3 per il loro framework (https://github.com/Defense-Cyber-Crime-Center/DC3-MWCP). Un ringraziamento speciale a Jason Reaves (@sysopfb) per il parser TrickBot e a Fabien Perigaud per il parser PlugX.
Sono inclusi anche pacchetti utility: 'DumpOnAPI' permette di dumpare un modulo quando chiama una specifica funzione API che può essere specificata nell'interfaccia web. 'DumpConfigRegion' permette di dumpare la regione di memoria contenente informazioni C2 o altri dati di configurazione per chiamate API comunemente utilizzate. Questi pacchetti possono essere utili per rapidamente unpackare/dumpare campioni o configurazioni nuovi. Il pacchetto 'Trace' fornisce un accesso rapido al debugger accettando quattro punti di interruzione (valori RVA) da impostare sulle istruzioni, dopodiché verrà prodotto un breve tracciato delle istruzioni. Un parametro opzionale 'base-on-api' permette di impostare la base dell'immagine tramite chiamata API.
Il debugger di CAPE permette di impostare punti di interruzione su lettura, scrittura o esecuzione di un indirizzo o regione di memoria, oltre alla modalità passo-passo. Ciò consente un controllo accurato dell'esecuzione del malware fino a quando è possibile dumpare le regioni di memoria di interesse, contenenti codice o dati di configurazione. I punti di interruzione possono essere impostati dinamicamente dal codice del pacchetto, dagli hook API o dalle firme Yara. Grazie alla libreria distorm integrata, il debugger può produrre il disassemblaggio delle istruzioni durante la modalità passo-passo o quando vengono raggiunti i punti di interruzione, ottenendo tracciati di istruzioni.
Processi, moduli e regioni di memoria possono essere dumpati variamente da CAPE tramite un'API semplice. Questi dump possono quindi essere scansionati e analizzati per informazioni di configurazione. I moduli eseguibili vengono riparati al momento del dump e possono anche avere le loro importazioni automaticamente ricostruite (basato su Scylla: https://github.com/NtQuery/Scylla). I pacchetti possono essere scritti basandosi su hook API, sul debugger di CAPE, o su una combinazione di entrambi. Ci sono attualmente in lavorazione molti altri pacchetti comportamentali e di famiglia malware, nonché parser, quindi restate sintonizzati.
Il repository contenente il codice per le DLL monitor che costituiscono la base di questi pacchetti è un repository distinto: https://github.com/ctxis/capemon. Questo repository è organizzato in branch per i vari pacchetti.
CAPE deriva da spender-sandbox (https://github.com/spender-sandbox), che a sua volta deriva da Cuckoo Sandbox (https://github.com/cuckoosandbox), quindi grazie a Brad Spengler, Claudio Guarnieri, Jurriaan Bremer e agli innumerevoli altri contributori di Cuckoo senza i quali questo lavoro non sarebbe stato possibile. Dipende anche da Yara (https://github.com/VirusTotal/yara) di VirusTotal. Grazie a Decalage (@decalage2) per oletools, Didier Stevens e peepdf (@peepdf) per gli strumenti PDF, MalwareCantFly per Vba2Graph e Matt Holley (@mrmolley) per binGraph. Un grande ringraziamento anche a doomedraven (@D00m3dR4v3n), Sandor Nemes (@sandornemes), Kevin Ross ed Enzo (@enzok) per il loro supporto e contributi.
Si prega di contribuire a questo progetto aiutando a creare nuovi pacchetti per ulteriori famiglie di malware, packer, tecniche o parser di configurazione. In alternativa, contattare @CapeSandbox o Kevin O'Reilly per ulteriori dettagli sullo sviluppo di CAPE.
sudo ./kvm-qemu.sh all <username>sudo ./cuckoo.sh all cape* Tutti gli script contengono help -h, ma controlla gli script per capire cosa fanno.