LitterBox

Песочница для анализа payload, размещаемая на собственном сервере и предназначенная для red-команд. Загрузите образец, запустите статический / динамический / EDR-анализ, получите Detection Score и разбивку по сработавшим индикаторам — и решите, готов ли payload к боевому применению, прежде чем он покинет лабораторию.

LitterBox также умеет отправлять payload на отдельную Windows-VM с развёрнутым EDR (Elastic Defend или Fibratus) и возвращать связанные алерты обнаружения на страницу результатов.

Несмотря на то что LitterBox создавался в первую очередь для red-команд, он одинаково полезен и для blue-команд, использующих те же инструменты в своих процессах анализа вредоносного ПО.

Документация

Документация для операторов и разработчиков находится в LitterBox Wiki.

Установка

Windows

git clone https://github.com/BlackSnufkin/LitterBox.git
cd LitterBox
python -m venv venv
.\venv\Scripts\Activate.ps1
pip install -r requirements.txt
python litterbox.py            # add --debug for verbose logging

Откройте http://127.0.0.1:1337. Требуются Python 3.11+ и оболочка с правами администратора.

Linux (Docker)

git clone https://github.com/BlackSnufkin/LitterBox.git
cd LitterBox/Docker
chmod +x setup.sh
./setup.sh

Скрипт установки разворачивает контейнер Windows 10 с KVM и запускает LitterBox внутри. Первоначальная сборка занимает около 1 часа.

• Монитор установки: http://localhost:8006
• RDP: localhost:3389 (креды в файле docker compose)
• Интерфейс LitterBox: http://127.0.0.1:1337 после завершения установки

Настройка EDR (необязательно)

Поместите один или несколько профилей YAML в Config/edr_profiles/, и страница загрузки подхватит их при старте. Полные пошаговые руководства — в вики: Whiskers Agent → Elastic Defend Setup или Fibratus Setup.

Сканеры

Встроенные бинарники находятся в Scanners/. Версии и даты последних обновлений отслеживаются здесь, чтобы операторы могли с первого взгляда определить, актуален ли сканер.

Формат версии: <release-version> или <release-version> (release), если бинарник взят из апстрим-релиза; <release-version> (\`)или просто```, если собран из исходного кода. Дата последнего обновления — это дата апстрим-коммита / релиза, а не дата локальной сборки.

Когда обновляете сканер: замените бинарник в каталоге Scanners/<Name>/ и обновите строку выше (версия + дата).

Участие в разработке

См. CONTRIBUTING.md. Работайте в тематических ветках в личных форках.

Поддержка 🍺

Предупреждение о безопасности

• Только для разработки. Платформа предназначена для тестовых сред. Развёртывание в продакшене сопряжено со значительными рисками для безопасности.
• Требуется изоляция. Запускайте только в изолированных виртуальных машинах или выделенных тестовых средах.
• Без гарантий. Предоставляется без каких-либо гарантий; используйте на свой страх и риск.
• Соблюдение законодательства. Пользователи несут ответственность за соответствие использования применимому законодательству.

Благодарности

LitterBox опирается на работы этих проектов и их авторов:

Интерфейс