Quand j'ai lancé Cuckoo Sandbox, je me suis mis en colère contre Yara, alors j'enquête sur la cause et je la résolve. Je pensais que la cause était la version, et quand j'ai essayé d'insérer une version différente de Yara, elle est restée bloquée, alors prenez note pour ne pas oublier. Quand j'ai résolu une erreur, une nouvelle erreur est apparue, donc je ne me suis pas ennuyé. J'ai écrit le processus d'essais et d'erreurs tel qu'il est, en pensant que c'est à l'origine pour moi et qu'il sera utile pour ceux qui ont la même erreur, mais c'est résumé à la fin.
Je me suis mis en colère quand j'ai lancé cuckoo.py.
Voici le contenu.
$ python cuckoo/cuckoo.py
_____________________________________/\/\_______________________________
___/\/\/\/\__/\/\__/\/\____/\/\/\/\__/\/\__/\/\____/\/\/\______/\/\/\___
_/\/\________/\/\__/\/\__/\/\________/\/\/\/\____/\/\__/\/\__/\/\__/\/\_
_/\/\________/\/\__/\/\__/\/\________/\/\/\/\____/\/\__/\/\__/\/\__/\/\_
___/\/\/\/\____/\/\/\/\____/\/\/\/\__/\/\__/\/\____/\/\/\______/\/\/\___
________________________________________________________________________
Cuckoo Sandbox 1.2-dev
www.cuckoosandbox.org
Copyright (c) 2010-2014
Checking for updates...
Good! You have the latest version available.
2014-10-11 17:13:09,487 [lib.cuckoo.core.scheduler] INFO: Using "kvm" machine manager
2014-10-11 17:13:09,919 [lib.cuckoo.core.scheduler] INFO: Loaded 1 machine/s
2014-10-11 17:13:09,925 [lib.cuckoo.core.scheduler] INFO: Waiting for analysis tasks.
2014-10-11 17:13:30,206 [lib.cuckoo.core.scheduler] INFO: Starting analysis of FILE "/home/cuckoo/ZeuS_binary_9498ff82a64ff445398c8426ed63ea5b.exe" (task=2)
2014-10-11 17:13:30,218 [lib.cuckoo.core.scheduler] INFO: File already exists at "/home/cuckoo/cuckoo/storage/binaries/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1c17c4ab19a"
2014-10-11 17:13:30,331 [lib.cuckoo.core.scheduler] INFO: Task #2: acquired machine Windows7_default_1412852245584_47636 (label=Windows7_default_1412852245584_47636)
2014-10-11 17:13:30,339 [modules.auxiliary.sniffer] INFO: Started sniffer with PID 14069 (interface=hostonly0, host=192.168.124.2, dump path=/home/cuckoo/cuckoo/storage/analyses/2/dump.pcap)
2014-10-11 17:13:39,623 [lib.cuckoo.core.guest] INFO: Starting analysis on guest (id=Windows7_default_1412852245584_47636, ip=192.168.124.2)
2014-10-11 17:14:06,404 [lib.cuckoo.core.guest] INFO: Windows7_default_1412852245584_47636: analysis completed successfully
2014-10-11 17:14:08,420 [modules.processing.behavior] WARNING: Analysis results folder does not contain any file.
2014-10-11 17:14:08,748 [lib.cuckoo.common.objects] WARNING: Unable to import pydeep (install with `pip install pydeep`)
2014-10-11 17:14:08,749 [lib.cuckoo.common.objects] WARNING: Unable to match Yara signatures: 'error_on_warning' is an invalid keyword argument for this function
2014-10-11 17:14:09,797 [lib.cuckoo.core.scheduler] INFO: Task #2: reports generation completed (path=/home/cuckoo/cuckoo/storage/analyses/2)
2014-10-11 17:14:09,894 [lib.cuckoo.core.scheduler] INFO: Task #2: analysis procedure completed
Il y a deux AVERTISSEMENTS, mais j'aimerais les mettre de côté pour le moment et résoudre d'abord l'AVERTISSEMENT de Yara.
2014-10-11 17:14:08,749 [lib.cuckoo.common.objects] WARNING: Unable to match Yara signatures: 'error_on_warning' is an invalid keyword argument for this function
C'est ici. Après enquête, il y a une histoire selon laquelle la version de Yara peut être différente. Cuckoo a dit que je devrais utiliser Yara v1.7 ou supérieur, donc j'utilisais la v1.7, mais je vais essayer la dernière version.
Actuellement, la v3.1.0 semble être la dernière. https://github.com/plusvic/yara/releases/tag/v3.1.0 J'aimerais suivre la documentation de Yara. http://yara.readthedocs.org/en/latest/gettingstarted.html
$ wget https://github.com/plusvic/yara/archive/v3.1.0.tar.gz
$ tar zxvf v3.1.0.tar.gz
$ cd yara-3.1.0/
$ ./bootstrap.sh
== bootstraping yara
libtoolize...
Did not find a supported libtoolize
J'étais en colère contre quelque chose.
Il semble qu'il n'y ait pas de libtoolize, donc je vais installer le paquet libtool.
$ sudo apt-get install libtool
./bootstrap.sh
== bootstraping yara
libtoolize...
libtoolize: putting auxiliary files in `.'.
libtoolize: linking file `./ltmain.sh'
libtoolize: putting macros in AC_CONFIG_MACRO_DIR, `m4'.
libtoolize: linking file `m4/libtool.m4'
libtoolize: linking file `m4/ltoptions.m4'
libtoolize: linking file `m4/ltsugar.m4'
libtoolize: linking file `m4/ltversion.m4'
libtoolize: linking file `m4/lt~obsolete.m4'
aclocal...
Did not find a supported aclocal
Je pense que c'est plus avancé qu'avant, mais cette fois, on dit qu'il n'y a pas de «local».
Afin d'inclure ʻaclocal, il semble que vous deviez inclure le paquet ʻautomake (ou n'a-t-il pas été inclus).
$ sudo apt-get install automake
$ ./bootstrap.sh
== bootstraping yara
libtoolize...
libtoolize: putting auxiliary files in `.'.
libtoolize: linking file `./ltmain.sh'
libtoolize: putting macros in AC_CONFIG_MACRO_DIR, `m4'.
libtoolize: linking file `m4/libtool.m4'
libtoolize: linking file `m4/ltoptions.m4'
libtoolize: linking file `m4/ltsugar.m4'
libtoolize: linking file `m4/ltversion.m4'
libtoolize: linking file `m4/lt~obsolete.m4'
aclocal...
autoheader...
automake...
autoconf...
Oh, on dirait que c'est bon. Je voudrais donc le compiler.
Tout d'abord, mettez les bibliothèques requises.
Dans le cas du coucou, il semble que Jansson soit utilisé pour analyser JSON, il est donc nécessaire de l'installer à l'avance, mais il semble qu'il soit inclus dans libjansson-dev, alors installez-le.
De plus, la magie semble avoir besoin de libmagic-dev, alors installez-la également.
Ce n'est peut-être pas nécessaire, mais je ne veux pas devenir accro plus tard (je suis fatigué).
$ sudo apt-get install libjansson-dev libmagic-dev
Une fois l'installation terminée, consultez la documentation. Il semble que vous deviez ajouter «--enable-coucou» lorsque vous l'utilisez avec un coucou. Alors ajoutez une option et «make».
$ ./configure --enable-cuckoo --enable-magic
(Omis)
checking for pthread_create in -lpthread... yes
checking that generated files are newer than configure... done
configure: creating ./config.status
config.status: creating Makefile
config.status: creating libyara/Makefile
config.status: creating config.h
config.status: executing depfiles commands
config.status: executing libtool commands
$ make
$ sudo make install
C'est OK s'il n'y a pas d'erreur particulière.
Coucou a également besoin de yara-python après l'ajout de yara, alors mettez-le. Il se trouve dans le répertoire lorsque vous avez déposé yara plus tôt, alors compilez-le et installez-le! Facile! (Je croyais que c'était)
$ cd yara-python/
$ python setup.py build
$ sudo python setup.py install
Maintenant que vous êtes prêt, essayez à nouveau de faire coucou.
Après avoir exécuté cuckoo.py, le malware approprié est soumis par submit.py.
$ python ~/cuckoo/cuckoo.py
_ _ _ _ _ _
/\ \ /\_\ /\ \ /\_\ /\ \ /\ \
/ \ \ / / / _ / \ \ / / / _ / \ \ / \ \
/ /\ \ \ \ \ \__ /\_\ / /\ \ \ / / / /\_\ / /\ \ \ / /\ \ \
/ / /\ \ \ \ \___\ / / // / /\ \ \ / / /__/ / / / / /\ \ \ / / /\ \ \
/ / / \ \_\ \__ / / / // / / \ \_\ / /\_____/ / / / / \ \_\ / / / \ \_\
/ / / \/_/ / / / / / // / / \/_/ / /\_______/ / / / / / // / / / / /
/ / / / / / / / // / / / / /\ \ \ / / / / / // / / / / /
/ / /________ / / /___/ / // / /________ / / / \ \ \ / / /___/ / // / /___/ / /
/ / /_________\/ / /____\/ // / /_________\/ / / \ \ \ / / /____\/ // / /____\/ /
\/____________/\/_________/ \/____________/\/_/ \_\_\\/_________/ \/_________/
Cuckoo Sandbox 1.2-dev
www.cuckoosandbox.org
Copyright (c) 2010-2014
Checking for updates...
Good! You have the latest version available.
2014-10-11 21:54:13,566 [lib.cuckoo.core.scheduler] INFO: Using "kvm" machine manager
2014-10-11 21:54:14,611 [lib.cuckoo.core.scheduler] INFO: Loaded 1 machine/s
2014-10-11 21:54:14,618 [lib.cuckoo.core.scheduler] INFO: Waiting for analysis tasks.
2014-10-11 21:54:22,819 [lib.cuckoo.core.scheduler] INFO: Starting analysis of FILE "/home/cuckoo/ZeuS_binary_9498ff82a64ff445398c8426ed63ea5b.exe" (task=7)
2014-10-11 21:54:22,830 [lib.cuckoo.core.scheduler] INFO: File already exists at "/home/cuckoo/cuckoo/storage/binaries/8b2e701e91101955c73865589a4c72999aeabc11043f712e05fdb1c17c4ab19a"
2014-10-11 21:54:22,959 [lib.cuckoo.core.scheduler] INFO: Task #7: acquired machine Windows7_default_1412852245584_47636 (label=Windows7_default_1412852245584_47636)
2014-10-11 21:54:22,967 [modules.auxiliary.sniffer] INFO: Started sniffer with PID 13437 (interface=hostonly0, host=192.168.124.2, dump path=/home/cuckoo/cuckoo/storage/analyses/7/dump.pcap)
2014-10-11 21:54:39,130 [lib.cuckoo.core.guest] INFO: Starting analysis on guest (id=Windows7_default_1412852245584_47636, ip=192.168.124.2)
2014-10-11 21:55:11,988 [lib.cuckoo.core.guest] INFO: Windows7_default_1412852245584_47636: analysis completed successfully
2014-10-11 21:55:13,435 [modules.processing.behavior] WARNING: Analysis results folder does not contain any file.
2014-10-11 21:55:13,843 [lib.cuckoo.common.objects] WARNING: Unable to import yara (please compile from sources)
2014-10-11 21:55:14,883 [lib.cuckoo.core.scheduler] INFO: Task #7: reports generation completed (path=/home/cuckoo/cuckoo/storage/analyses/7)
2014-10-11 21:55:15,028 [lib.cuckoo.core.scheduler] INFO: Task #7: analysis procedure completed
Je reçois à nouveau une erreur. triste...
WARNING: Unable to import yara (please compile from sources)
Compiler yara à partir de la source? Je l'ai fait il y a quelque temps! !!
Apparemment, cela n'a pas bien importé.
$ python
Python 2.7.6 (default, Mar 22 2014, 22:59:56)
[GCC 4.8.2] on linux2
Type "help", "copyright", "credits" or "license" for more information.
>>> import yara
Traceback (most recent call last):
File "<stdin>", line 1, in <module>
ImportError: libyara.so.3: cannot open shared object file: No such file or directory
Certainement pas en mesure d'importer.
https://github.com/styx/YARA/tree/master/yara-python
Quand je regarde, il dit ldconfig si une erreur se produit.
Selon http://www.atmarkit.co.jp/flinux/rensai/linuxtips/300sharelib.html
Le répertoire / usr / local / lib n'est pas enregistré, vous devez donc éditer le fichier /etc/ld.so.conf avant d'exécuter la commande ldconfig.
Il paraît que. Alors
$ sudo su
# echo "/usr/local/lib" >> /etc/ld.so.conf
# ldconfig
Je vais essayer.
Si / usr / local / lib est déjà écrit dans ld.so.conf, je pense que vous devriez probablement simplement faire ldconfig.
Alors j'ai réessayé.
$ python
Python 2.7.6 (default, Mar 22 2014, 22:59:56)
[GCC 4.8.2] on linux2
Type "help", "copyright", "credits" or "license" for more information.
>>> import yara
>>>
Cette fois, l'erreur a disparu. Si vous l'exécutez dans cet état, vous ne devriez obtenir aucune erreur.
$ python ~/cuckoo/cuckoo.py
(Omis)
2014-10-11 23:44:29,156 [lib.cuckoo.core.plugins] DEBUG: Running non-evented signatures
2014-10-11 23:44:29,156 [lib.cuckoo.core.plugins] DEBUG: Running signature "creates_exe"
2014-10-11 23:44:29,157 [lib.cuckoo.core.plugins] DEBUG: Running signature "generic_metrics"
2014-10-11 23:44:29,178 [lib.cuckoo.core.plugins] DEBUG: Executed reporting module "JsonDump"
2014-10-11 23:44:29,462 [lib.cuckoo.core.plugins] DEBUG: Executed reporting module "ReportHTML"
2014-10-11 23:44:29,462 [lib.cuckoo.core.scheduler] INFO: Task #18: reports generation completed (path=/home/cuckoo/cuckoo/storage/analyses/18)
2014-10-11 23:44:29,601 [lib.cuckoo.core.scheduler] INFO: Task #18: analysis procedure completed
C'était bien.
J'ai posté le processus d'essais et d'erreurs tel quel, mais pour résumer
#Bibliothèques requises au moment de la compilation, etc.
$ sudo apt-get install libtool automake
#Bibliothèques requises pour une utilisation avec Cuckoo, etc.
$ sudo apt-get install libjansson-dev libmagic-dev
#Mettez la dernière version de yara et compilez
$ wget https://github.com/plusvic/yara/archive/v3.1.0.tar.gz
$ tar zxvf v3.1.0.tar.gz
$ cd yara-3.1.0/
$ ./bootstrap.sh
$ ./configure --enable-cuckoo --enable-magic
$ make
$ sudo make install
#yara-Compiler python
$ cd yara-python/
$ python setup.py build
$ sudo python setup.py install
#ldconfig
$ sudo su
# echo "/usr/local/lib" >> /etc/ld.so.conf
# ldconfig
Ces opérations ne provoquent plus d'erreurs dans mon environnement. Je ne sais pas dans l'environnement des autres, alors faites-le à vos risques et périls.
Recommended Posts