Sobre o CuckooAutoinstall

Cuckoo Sandbox <http://www.cuckoosandbox.org/>_. script de instalação automática

O que é o Cuckoo Sandbox?

Cuckoo Sandbox é um sistema de análise de malware.

O que isso significa?

Isso significa que você pode enviar qualquer arquivo suspeito e obter um relatório com detalhes sobre o comportamento do arquivo em um ambiente isolado.

Criamos isso inicialmente na Buguroo Offensive Security <http://www.buguroo.com>_ para tornar a instalação dolorosa do cuckoo mais rápida, fácil e sem dor.

Sistemas suportados

A maior parte deste script não depende de distribuição (embora, claro, você precise executá-lo em GNU/Linux), mas a instalação de pacotes, neste momento, suporta apenas derivados do Debian.

Além disso, como usamos a versão proprietária do VirtualBox (na maioria das vezes a edição OSE não atende às nossas necessidades), este script requer que exista um repositório Debian em Virtualbox Downloads <http://downloads.virtualbox.org>_ para sua distribuição. Forçar a distribuição no arquivo de configuração deve fazê-lo funcionar em distribuições não suportadas.

Autores

David Reguera García - Dreg <http://github.com/David-Reguera-Garcia-Dreg>_ - [email protected] <mailto:[email protected]>_ - @fr33project <https://twitter.com/fr33project>_

David Francos Cuartero - XayOn <http://github.com/Xayon>_ - [email protected] <mailto:[email protected]>_ - @davidfrancos <https://twitter.com/davidfrancos>_

Guia de início rápido

Clone este repositório e execute o script: bash cuckooautoinstall.bash

.. image:: /../screenshots/cuckooautoinstall.png?raw=true

Se você confia em nós, na sua configuração de rede e em muitas outras variáveis (o que é totalmente não recomendado) e é o mais preguiçoso possível, pode executar como um usuário normal se tiver o sudo configurado:

wget -O - https://raw.githubusercontent.com/buguroo/cuckooautoinstall/master/cuckooautoinstall.bash | bash

O script aceita um arquivo de configuração na forma de um script bash simples com opções como:

SUDO="sudo"
TMPDIR=$(mktemp -d)
RELEASE=$(lsb_release -cs)
CUCKOO_USER="cuckoo"
CUSTOM_PKGS=""
ORIG_DIR=$( cd "$( dirname "${BASH_SOURCE[0]}"   )" && pwd   )
VOLATILITY_URL="http://downloads.volatilityfoundation.org/releases/2.4/volatility-2.4.tar.gz"
VIRTUALBOX_REP="deb http://download.virtualbox.org/virtualbox/debian $RELEASE contrib"
CUCKOO_REPO='https://github.com/cuckoobox/cuckoo'
YARA_REPO="https://github.com/plusvic/yara"
JANSSON_REPO="https://github.com/akheron/jansson"

LOG=$(mktemp)
UPGRADE=false

Você pode substituir qualquer uma dessas variáveis no arquivo de configuração.

Ele aceita parâmetros

┌─────────────────────────────────────────────────────────┐
│                CuckooAutoInstall 0.2                    │
│ David Reguera García - Dreg <[email protected]>      │
│ David Francos Cuartero - XayOn <[email protected]>   │
│            Buguroo Offensive Security - 2015            │
└─────────────────────────────────────────────────────────┘
Usage: cuckooautoinstall.bash [--verbose|-v] [--help|-h] [--upgrade|-u]

    --verbose   Print output to stdout instead of temp logfile
    --help      This help menu
    --upgrade   Use newer volatility, yara and jansson versions (install from source)

Para a maioria das configurações, --upgrade é sempre recomendado.

Adicione uma senha (como root) para o usuário 'cuckoo' criado pelo script

passwd cuckoo

Crie as máquinas virtuais http://docs.cuckoosandbox.org/en/latest/installation/guest/ ou importe máquinas virtuais

VBoxManage import virtual_machine.ova

Adicione às máquinas virtuais com a opção HostOnly usando vboxnet0

vboxmanage modifyvm “virtual_machine" --hostonlyadapter1 vboxnet0

Configure o cuckoo (http://docs.cuckoosandbox.org/en/latest/installation/host/configuration/ )
Execute o cuckoo

cd ~cuckoo/cuckoo python cuckoo.py

.. image:: /../screenshots/github%20cuckoo%20working.png?raw=true

Execute também o django usando a porta 6969

cd ~cuckoo/cuckoo/web python manage.py runserver 0.0.0.0:6969

.. image:: /../screenshots/github%20django.png?raw=true

Funcionalidades do script

Instala por padrão o Cuckoo Sandbox com todos os itens opcionais: yara, ssdeep, django ...
Instala as últimas versões de ssdeep, yara, pydeep-master e jansson.
Resolve problemas comuns durante a instalação: ldconfigs, autoreconfs...
Instala por padrão o VirtualBox e cria o hostonlyif.
Cria o usuário 'cuckoo' no sistema e também adiciona este usuário ao grupo vboxusers.
Ativa mongodb em conf/reporting.conf
Cria as regras iptables e o ip forward para habilitar internet nas máquinas virtuais do cuckoo

sudo iptables -A FORWARD -o eth0 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT
sudo iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A POSTROUTING -t nat -j MASQUERADE
sudo sysctl -w net.ipv4.ip_forward=1

Habilita a execução do tcpdump por um usuário não root

sudo apt-get -y install libcap2-bin
sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump

Corrige o erro "TEMPLATE_DIRS setting must be a tuple" ao executar python manage.py a partir da versão do DJANGO >= 1.6. Substituindo em web/web/settings.py

    TEMPLATE_DIRS = (
        "templates"
    )

se torna

    TEMPLATE_DIRS = (
        ("templates"),
    )

Instalar o cuckoo como daemon

Para isso, recomendamos o uso do supervisor.

Instalar o supervisor

sudo apt-get install supervisor

Edite /etc/supervisor/conf.d/cuckoo.conf , como

    [program:cuckoo]
    command=python cuckoo.py
    directory=/home/cuckoo
    User=cuckoo

    [program:cuckoo-api]
    command=python api.py
    directory=/home/cuckoo/utils
    user=cuckoo

Recarregar o supervisor

sudo supervisorctl reload

iptables

Como você provavelmente já notou, as regras iptables não persistem após uma reinicialização. Se você quiser torná-las persistentes, recomendamos iptables-save e iptables-restore

iptables-save > your_custom_iptables_rules
iptables-restore < your_custom_iptables_rules

Ajuda extra

Você pode querer ler:

Remote <./doc/Remote.rst>_ - Habilitando administração remota de VMs e VBox
OVA <./doc/OVA.rst>_ - Trabalhando com imagens OVA
Antivm <./doc/Antivm.rst>_ Como lidar com malware que possui técnicas de detecção de VM
VMcloak <./doc/Vmcloak.rst>_ VMCloak - Gerenciamento de máquinas virtuais Windows do Cuckoo

PENDÊNCIAS

Melhorar a documentação

Contribuindo

Este projeto é licenciado como GPL3+ conforme você pode ver no arquivo "LICENSE". Todos os pull requests são bem-vindos, tendo em mente que:

O estilo de script deve estar em conformidade com o atual
Novas funcionalidades devem estar em branches separadas (muito melhor se for git-flow =) )
Por favor, verifique se funciona corretamente antes de enviar um PR.

Provavelmente responderemos aos PRs em um período de 7 a 14 dias, por favor, seja paciente.

cuckooautoinstall

Mais Populares