blacksnufkin/litterboxレッドチームがデプロイ前に最新の検知に対してペイロードをテストするためのセルフホスト型サンドボックス。MCP統合により、LLMエージェントが分析をエンドツーエンドで主導できます。
レッドチーム向けのセルフホスト型ペイロード解析サンドボックスです。サンプルをアップロードして静的 / 動的 / EDR 解析を実行し、Detection Score と、検出をトリガーしたインジケーターの内訳を取得できます。ラボから持ち出す前に、ペイロードが実戦投入可能かどうかを判断できます。
LitterBox は、ペイロードを別途 EDR を導入した Windows VM（Elastic Defend または Fibratus）に転送し、関連する検出アラートを結果ページに取り込むこともできます。
主にレッドチーム向けに設計されていますが、LitterBox はマルウェア解析ワークフローで同じツールを実行するブルーチームにも同様に役立ちます。
運用者・開発者向けドキュメントは LitterBox Wiki にあります。
| トピック | Wiki ページ |
|---|---|
| 全体の構成 | Application Architecture |
| 静的解析と到達可能なすべての EDR を並列実行 | All in One Pipeline |
| ペイロードを実際の EDR VM に転送 | EDR Integration → Elastic Defend / Fibratus |
| Whiskers エージェント（インストール、エンドポイント、ビルド） | Whiskers Agent |
| すべての HTTP エンドポイント | HTTP API Reference |
| LLM 向け CLI / Python ライブラリ / MCP | GrumpyCats CLI · GrumpyCats Library · LitterBoxMCP |
| Detection Score の算出根拠 | Detection Score Explained |
| スキャナー / パス / タイムアウトの設定 | Configuration Reference |
| カスタム YARA ルール / スキャナーの追加 | YARA Rules Management · New Scanner |
git clone https://github.com/BlackSnufkin/LitterBox.git
cd LitterBox
python -m venv venv
.\venv\Scripts\Activate.ps1
pip install -r requirements.txt
python litterbox.py # add --debug for verbose logging
http://127.0.0.1:1337 をブラウザで開きます。Python 3.11+ と管理者シェルが必要です。
git clone https://github.com/BlackSnufkin/LitterBox.git
cd LitterBox/Docker
chmod +x setup.sh
./setup.sh
セットアップスクリプトは KVM を使用して Windows 10 コンテナをプロビジョニングし、その中で LitterBox を実行します。初回ビルドには約 1 時間かかります。
http://localhost:8006localhost:3389（認証情報は docker compose ファイルに記載）http://127.0.0.1:1337Config/edr_profiles/ 配下に 1 つ以上のプロファイル YAML を配置すると、アップロードページが起動時にそれを読み込みます。詳細な手順は Wiki にあります: Whiskers Agent → Elastic Defend Setup または Fibratus Setup。
Scanners/ 配下に同梱バイナリを置いています。バージョンと最終更新日をここで追跡しているので、スキャナーが最新かどうかをひと目で確認できます。
| スキャナー | バージョン | 最終更新日 | ソース |
|---|---|---|---|
| PE-Sieve | 0.4.1.2 (f1dc39d) | 2026-05-02 | hasherezade/pe-sieve |
| Hollows-Hunter | 0.4.1.2 (e271f7e) | 2026-04-18 | hasherezade/hollows_hunter |
| Moneta | 5b65395 | 2024-03-16 | forrest-orr/moneta |
| Patriot | — | 2024-12-29 | joe-desimone/patriot |
| Hunt-Sleeping-Beacons | 84dd3a9 | 2026-01-25 | thefLink/Hunt-Sleeping-Beacons |
| RedEdr | 3bd6b97 (EXE-only build) | 2026-05-03 | dobin/RedEdr |
YARA (engine yara64.exe) | — | 2024-12-29 | VirusTotal/yara |
Elastic YARA rules (Scanners/Yara/rules/elastic-yara/) | d131ea8 | 2026-04-30 | elastic/protections-artifacts |
YARA-Forge Extended (Scanners/Yara/rules/YARAForge/) | 0.9.1 (release 20260503) | 2026-05-03 | YARAHQ/yara-forge |
| CheckPlz | — | 2024-12-29 | BlackSnufkin/CheckPlz |
| Stringnalyzer | — | 2025-01-27 | BlackSnufkin/Rusty-Playground |
| HolyGrail | — | 2025-08-18 | BlackSnufkin/HolyGrail |
バージョン形式: バイナリがアップストリームリリースから取得された場合は <release-version> または <release-version> (release)、ソースからビルドされた場合は <release-version> (\`)または``` のみです。最終更新日はローカルのビルド日ではなく、アップストリームのコミット / リリース日です。
スキャナーを更新する場合は、Scanners/<Name>/ ディレクトリ内のバイナリを置き換え、上記の表の行（バージョンと日付）を更新してください。
CONTRIBUTING.md を参照してください。作業は個人のフォーク上でフィーチャーブランチを使って行ってください。
LitterBox は、以下のプロジェクトとその作者の成果に基づいています。
