Configuración de malware y extracción de carga útil

CAPEv2 es un sandbox de malware. Se derivó de Cuckoo, con el objetivo de agregar el desempaquetado automático de malware y la extracción de configuración, de ahí su acrónimo: «configuración y extracción de carga útil». El desempaquetado automático permite la clasificación basada en las firmas de Yara para complementar las firmas de red (Suricata) y de comportamiento (API).

Hay una instancia de comunidad gratuita en línea que cualquiera puede usar:

https://capesandbox.com

Si bien la configuración y la extracción de la carga útil fueron los objetivos establecidos originalmente, el desarrollo de un depurador en CAPE inspiró primero el proyecto: para extraer la configuración o descomprimir las cargas útiles de familias de malware arbitrarias, sin depender de volcados de procesos (que tarde o temprano se rompen, Guys se detendrá) , es necesaria la vigilancia y el control a nivel de mando. El nuevo depurador en CAPE sigue los principios de maximizar el uso del hardware del procesador y el uso mínimo (casi completamente) de la interfaz de depuración de Windows, lo que permite que el malware se detecte y manipule de forma encubierta desde los puntos de entrada y a través de las firmas de Yara o las API durante la detonación Puntos de interrupción de hardware establecidos mediante programación en llamadas Esto permite capturar seguimientos de instrucciones o realizar operaciones como manipulación de flujo de control o volcados de región de memoria.

El depurador ha permitido que CAPE continúe evolucionando más allá de su funcionalidad original y ahora incluye omisiones dinámicas anti-evasión. Dado que el malware moderno a menudo intenta evadir el análisis dentro de la zona de pruebas, por ejemplo, mediante el uso de trampas de tiempo para la virtualización o la detección de enlaces de API, CAPE permite el desarrollo de contramedidas dinámicas, combinadas con acciones de depuración en las firmas de Yara, para detectar malware evasivo tras la detonación. Y realice manipulaciones de flujo de control para obligar a la muestra a detonar por completo u omitir maniobras evasivas. La lista de desvíos dinámicos en CAPE está creciendo, pero incluye:

• cargador antiguo
• Úsnef
• Deredex
• Cargador
• libro de formularios
• cargador
• pafish

CAPE utiliza una serie de técnicas o comportamientos de malware para permitir la captura de carga útil no empaquetada:

• inyección de proceso
  • Inyección de shellcode
  • inyección de DLL
  • Proceso de vaciado
  • avatar de proceso
• Descompresión de módulos ejecutables en memoria
• Extraiga módulos ejecutables o shellcode en la memoria

Estas acciones darán como resultado la captura de cargas útiles inyectadas, extraídas o descomprimidas para su posterior análisis. Además, CAPE crea automáticamente un volcado de proceso o, para DLL, una imagen de módulo DLL en memoria para cada proceso. Esto es útil para muestras empaquetadas con empaquetadores simples, donde los volcados de imágenes de módulos generalmente se desempaquetan por completo.

Use las opciones de punto de interrupción «bp0» a «bp3» para acceder rápidamente al depurador, aceptan un valor RVA o VA para establecer un punto de interrupción y luego generarán un breve seguimiento de instrucciones, determinado por las opciones de «recuento» y «profundidad». (por ejemplo, bp0 = 0x1234, profundidad = 1, recuento = 100). Para establecer un punto de interrupción en el punto de entrada de un módulo, utilice «ep» en lugar de una dirección (p. ej., bp0=ep). Alternativamente, ‘break-on-return’ permite establecer un punto de interrupción en la dirección de retorno de la API de enganche (por ejemplo, break-on-return=NtGetContextThread). El parámetro opcional «base-on-api» permite que una biblioteca de imágenes establezca puntos de interrupción de RVA a través de una llamada API (p. ej., base-on-api=NtReadFile,bp0=0x2345).

Las opciones ‘action0’ – ‘action3’ permiten realizar acciones cuando se encuentra un punto de interrupción, como volcar regiones de memoria (por ejemplo, action0=dumpebx) o cambiar el flujo de control de ejecución (por ejemplo, action1=skip). La documentación de CAPE contiene más ejemplos de tales operaciones.

‘dump-on-api’ permite volcar módulos cuando se llama a una función API específica, que se puede especificar en la interfaz web, útil para desempaquetar/volcar rápidamente nuevas muestras (por ejemplo, dump-on-api=DnsQuery_A).

CAPE también tiene una opción «upx=1» que descomprime dinámicamente las muestras que usan UPX «pirateado» (modificado), que es muy popular entre los autores de malware. Las muestras se ejecutan en el depurador de CAPE hasta su OEP (Punto de entrada original), luego se descargan, reparan y sus importaciones se reconstruyen automáticamente, listas para el análisis.

CAPE continúa creciendo en la cobertura de la familia de malware, pero tiene un analizador de configuración para los siguientes ejemplos:

• emoticonos
• robot acrobático
• cabot
• Hancito
• Úsnef
• Deredex
• cargador de humo
• identificación de hielo
• hojas rojas
• cheques
• navegador
• Enfar
• hiedra venenosa
• grito
• TSCookie

CAPE utiliza las firmas de Yara como método de clasificación principal para detectar cargas útiles desempaquetadas. La lista crece constantemente e incluye:

• Azorult, Formbook, Ryuk, Hermes, Shade, Remcos, Ramnit, Gootkit, QtBot, ZeroT, WanaCry, NetTraveler, Locky, BadRabbit, Magniber, Redsip, Kronos, PetrWrap, Kovter, Azer, Petya, Dreambot, Atlas, NanoLocker, Mole, Codoso, Cryptoshield, Loki, Jaff, IcedID, Scarab, Cutlet, RokRat, OlympicDestroyer, Gandcrab, Fareit, ZeusPanda, AgentTesla, Imminent, Arkei, Sorgu, tRat, T5000, TClient, TreasureHunter.

Hay un repositorio de firmas de la comunidad con cientos de firmas desarrolladas por la comunidad de CAPE: https://github.com/kevoreilly/community

El análisis de configuración se puede realizar mediante el marco de análisis de configuración de CAPE, el marco RATDecoders de malwareconfig.com y DC3-MWCP (Centro para la defensa contra el cibercrimen: analizador de configuración de malware). También incluye muchos analizadores/decodificadores de malwareconfig.com, incluidos: Sakula, DarkComet, PredatorPain y PoisonIvy. Gracias a Kevin Breen/TechAnarchy por este marco y analizador (https://github.com/kevthehermit/RATDecoders), y gracias a DC3 por su marco (https://github.com/Defense-Cyber​​​-Crime- Centro/DC3-MWCP). Un agradecimiento especial a Jason Reaves (@sysopfb) por el analizador TrickBot y Fabien Perigaud por el analizador PlugX.

El repositorio que contiene el código DLL del monitor es un repositorio único: https://github.com/kevoreilly/capemon.

Contribuya a este proyecto ayudando a crear nuevas firmas, analizadores o evitando otras familias de malware. Hay muchas obras actualmente, así que esté atento a este espacio.

CAPEv2! – Para no perderte ninguna actualización importante, no pierdas de vista: Changelog

Recomendaciones de instalación y scripts para un rendimiento óptimo

Como actualizar

¿Cómo actualizar con muchas pequeñas modificaciones personalizadas que no se pueden hacer públicas?

usar rebase