En entreprise, l’analyse d’un malware lié à un incident de sécurité est une activité pouvant être réalisée à divers niveaux, en fonction de plusieurs paramètres : degré d’urgence, sensibilité de l’incident, but poursuivi, … Il peut être intéressant dans tous les cas d’obtenir en quelques minutes une première estimation des capacités du malware et de ses communications avec l’extérieur, ou encore de savoir rapidement quels fichiers il crée sur le système. C’est dans ce cadre qu’a été développé Cuckoo Sandbox, un bac à sable automatisé d’analyse de malware en environnement virtuel.
1. Présentation
Cuckoo Sandbox [1] est un outil développé et maintenu par Claudio Guarnieri. Le projet a été démarré dans le cadre du Google Summer of Code 2010 et soutenu par le Projet Honeynet [2]. Il en est actuellement à sa version 0.2 beta. L’outil est open source, sous licence GNU, entièrement écrit en Python. Il peut être téléchargé sous forme d’archive ou de dépôt GitHub.
Mais de quoi s’agit-il ? Cuckoo Sandbox (ou CuckooBox) est un bac à sable d’analyse de malware pour Windows basé sur la virtualisation et l’automatisation de tâches.
L’idée est d’installer CuckooBox sur un système hôte sain, Windows ou Linux, et de simplement lui soumettre des binaires Windows, qui seront analysés de façon totalement automatisée dans une machine virtuelle de type virtualBox [3]. En plus de lui soumettre des exécutables, il est également possible de lui fournir des fichiers PDF, des documents Office, ou encore des scripts PHP.
L’outil...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première