anticuckoo

Uma ferramenta para detectar e causar falha no Cuckoo Sandbox. Testada no Cuckoo Sandbox Oficial e na versão Cuckoo do Accuvant.

Por favor, considere fazer uma doação: https://github.com/sponsors/therealdreg

O Anticuckoo também pode detectar outras sandboxes como FireEye (-c2):

Discussão no Reddit / netsec sobre anticuckoo.

Funcionalidades

• Detecção:
  • Detecção de hooks do Cuckoo (todos os tipos de hooks do Cuckoo).
  • Dados suspeitos na própria memória (sem APIs, digitalização página por página).
• Crash (Executar com argumentos) (fora de uma sandbox esses argumentos não causam falha no programa):
  • -c1: Modifica a instrução RET N de uma API hookada com um valor maior. A próxima chamada para a API empurra mais argumentos na pilha. Se a API hookada for chamada do HookHandler do Cuckoo, o programa falha porque ele apenas empurra os argumentos reais da API, então a instrução RET N modificada corrompe a pilha do HookHandler.
  • -c2: O Cuckoomon executa threads dentro do processo; quando a ferramenta detecta novas threads, falha!.
  • -c3: Falha ao detectar atividade do hook handler na área da pilha antiga.

Os métodos de overkill podem ser úteis. Por exemplo, usando os métodos de overkill você tem duas funcionalidades em uma: detecção/crash e "uma espécie de Sleep" (Cuckoomon ignora chamadas de Sleep longas).

Os POCs de crash são apenas uma demonstração. Um malware real pode usar este código para detectar cuckoo sem causar falha, por exemplo, apenas verificar a exceção, esp etc. e depois tornar o código inútil.