Cuckoo沙箱自定义签名开发指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00294/article/details/148490686

Cuckoo沙箱自定义签名开发指南

cuckoo Cuckoo Sandbox is an automated dynamic malware analysis system 项目地址: https://gitcode.com/gh_mirrors/cuc/cuckoo

签名功能概述

Cuckoo沙箱的签名功能允许用户创建自定义规则，用于分析恶意软件行为模式。这些签名可以检测特定的恶意行为特征，如文件操作、注册表修改、网络活动等，帮助安全研究人员快速识别和分类恶意软件样本。

签名基础结构

每个签名都是一个Python类，继承自cuckoo.common.abstracts.Signature基类。签名文件需要放置在特定目录下才能被Cuckoo加载和执行。

基本签名示例

from cuckoo.common.abstracts import Signature

class CreatesExe(Signature):
    name = "creates_exe"  # 签名唯一标识
    description = "Creates a Windows executable on the filesystem"  # 签名描述
    severity = 2  # 严重级别(1-3)
    categories = ["generic"]  # 分类标签
    authors = ["Cuckoo Developers"]  # 作者信息
    minimum = "2.0"  # 最低支持的Cuckoo版本

    def on_complete(self):
        return self.check_file(pattern=".*\\.exe$", regex=True)

签名属性详解

每个签名类可以定义以下关键属性：

name: 签名的唯一标识符，使用小写字母和下划线
description: 对签名检测内容的详细描述
severity: 严重程度(1-3)，3为最严重
categories: 行为分类，如["malware", "banker"]
families: 关联的恶意软件家族名称
authors: 签名作者列表
references: 相关参考链接
enable: 是否启用该签名(True/False)
alert: 是否触发警报
minimum/maximum: 支持的Cuckoo版本范围

签名开发实践

检测特定互斥体示例

from cuckoo.common.abstracts import Signature

class BadMalware(Signature):
    name = "badmalware"
    description = "检测与Win32.BadMalware相关的互斥体"
    severity = 3
    categories = ["malware"]
    families = ["badmalware"]
    authors = ["安全研究员"]
    minimum = "2.0"

    def on_complete(self):
        # 检查是否创建了特定名称的互斥体
        return self.check_mutex("i_am_a_malware")

高级检测方法

除了使用check_mutex等辅助方法，也可以直接访问分析结果数据：

def on_complete(self):
    for process in self.get_processes_by_pid():
        if "summary" in process and "mutexes" in process["summary"]:
            for mutex in process["summary"]["mutexes"]:
                if mutex == "i_am_a_malware":
                    self.mark_matched(mutex=mutex)  # 标记匹配项
                    return True
    return False

事件驱动签名

Cuckoo 2.0及以上版本支持更高效的事件驱动签名，通过过滤器减少不必要的API调用处理：

class SystemMetrics(Signature):
    name = "generic_metrics"
    description = "检测GetSystemMetrics API调用"
    severity = 2
    categories = ["generic"]
    authors = ["Cuckoo Developers"]
    minimum = "2.0"

    # 设置API调用过滤器
    filter_processnames = set()
    filter_apinames = set(["GetSystemMetrics"])
    filter_categories = set()

    def on_call(self, call, pid, tid):
        if call["api"] == "GetSystemMetrics":
            self.mark_call(call)  # 标记匹配的API调用
            return True
        return None

签名组合与依赖

可以实现签名间的依赖关系，当多个相关签名都匹配时才触发：

required = ["creates_exe", "badmalware"]

def on_signature(self, matched_sig):
    if matched_sig in self.required:
        self.required.remove(matched_sig)
    return not self.required  # 当所有依赖签名都匹配时返回True