77 lines
3.6 KiB
Markdown
77 lines
3.6 KiB
Markdown
|
---
|
||
|
|
title: "CAPEv2 Sandbox Teil 1"
|
||
|
|
date: 2023-11-30
|
||
|
|
draft: false
|
||
|
|
---
|
||
|
|
|
||
|
|
Die CAPEv2-Sandbox-Umgebung ist sehr nützlich für die Analyse von Malware, da man hier die Malware in einer
|
||
|
|
kontrollierten Umgebung "zünden" kann und eine genaue Protokollierung hat. Die Installation und konfiguration von CAPE
|
||
|
|
ist jedoch nicht besonders einfach. Dieser Blogeintrag kann Ihnen hoffentlich als Einstieg dienen um sich eine
|
||
|
|
solche Umgebung aufzubauen. Bei Rückfragen und weiterführenden Themen stehe ich gerne zur Verfügung.
|
||
|
|
|
||
|
|
## Basis
|
||
|
|
Die Installations- und Konfigurationsskripte von CAPEv2 sind auf Ubuntu 22.04 optimiert. Eine Installation
|
||
|
|
unter Debian ist ebenfalls mit vergleichsweise wenig Änderungen möglich. Für andere Distributionen und MacOS sind
|
||
|
|
deutlich weiterführendere Änderungen notwendig, eine Installation unter Microsoft Windows ist nicht möglich.
|
||
|
|
Bei der Installation in einer Virtuellen Maschine muss "Nesting"-Aktiviert sein. Die Hardware-Anforderungen sind
|
||
|
|
stark von der geplanten Art und Anzahl von VMs ab. Es ist sinnvoll, mindestens 4 GB für OS und Applikation
|
||
|
|
einzurechnen, plus den Hardwareressourcen die für die maximale Anzahl an gleichzeitig laufenden VMs benötigt werden.
|
||
|
|
|
||
|
|
|
||
|
|
## CAPEv2 Download und Vorbereitungen:
|
||
|
|
CAPEv2 herunterladen:
|
||
|
|
```bash
|
||
|
|
sudo git clone https://github.com/kevoreilly/CAPEv2 /opt/CAPEv2
|
||
|
|
```
|
||
|
|
Sobald man CAPEv2 heruntergeladen hat, sollte man das Skript `/opt/CAPEv2/installer/kvm-qemu.sh` anpassen.
|
||
|
|
Die grundsätzliche Anleitung dafür steht in diesem Skript, für den Austausch der \<WOOT\>-Einträge für die
|
||
|
|
Hardware IDs ist die Website der UEFI alliance mit der [Liste der ACPI-IDs](https://uefi.org/ACPI_ID_List).
|
||
|
|
Für Testinstallationen ist es aber auch möglich, zufällige 4 Zeichen zu nutzen.
|
||
|
|
sobald dieses Skript angepasst wurde, kann es ausgeführt werden.
|
||
|
|
```bash
|
||
|
|
cd /opt/CAPEv2/installer/
|
||
|
|
sudo ./kvm-qemu.sh all yourusername | tee kvm-qemu-all.log
|
||
|
|
# optional
|
||
|
|
sudo ./kvm-qemu.sh virt-manager yourusername | tee kvm-qemu-virt-manager.log
|
||
|
|
```
|
||
|
|
Hierbei sollte besonders darauf geachtet werden, dass APT auch alle Pakete installieren kann.
|
||
|
|
Nachdem die installation erfolgreich war, ist es sinnvoll, das System neu zu starten.
|
||
|
|
|
||
|
|
## CAPE installieren
|
||
|
|
für die Installation von CAPEv2 führt man die folgenden Befehle aus:
|
||
|
|
```bash
|
||
|
|
cd /opt/CAPEv2/installer
|
||
|
|
sudo ./cape.sh all | tee cape-all.log
|
||
|
|
reboot now
|
||
|
|
cd /opt/CAPEv2
|
||
|
|
sudo -u cape poetry install
|
||
|
|
poetry env list
|
||
|
|
sudo -u cape poetry run pip install -r extra/optional_dependencies.txt
|
||
|
|
reboot now
|
||
|
|
```
|
||
|
|
|
||
|
|
|
||
|
|
## Internet via Cloudflare-VPN
|
||
|
|
Es ist sinnvoll, den Internet-Zugang der VMs über einen VPN laufen zu lassen und nicht über das eigene (lokale) Netz.
|
||
|
|
hierfür können diverse VPN-Anbieter verwendet werden, in diesem Fall nutze ich der Einfachheit halber Cloudflare Warp
|
||
|
|
mit seiner SOCKS-Proxy-Funktion.
|
||
|
|
Dafür führt man die folgenden Befehle aus:
|
||
|
|
```sh
|
||
|
|
curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | sudo gpg --yes --dearmor --output /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg
|
||
|
|
echo "deb [arch=amd64 signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/cloudflare-client.list
|
||
|
|
sudo apt-get update && sudo apt-get install cloudflare-warp
|
||
|
|
warp-cli register --accept-tos
|
||
|
|
warp-cli set-families-mode off
|
||
|
|
warp-cli set-mode proxy
|
||
|
|
warp-cli connect
|
||
|
|
warp-cli status
|
||
|
|
ss -tulpn | grep warp # Hier sollte hoffentlich 127.0.0.1:40000 stehen
|
||
|
|
|
||
|
|
```
|
||
|
|
|
||
|
|
---
|
||
|
|
Links:
|
||
|
|
https://github.com/kevoreilly/CAPEv2 - Github-Seite von CAPEv2
|
||
|
|
https://capev2.readthedocs.io/en/latest/# - CAPEv2 offizielle Dokumentation
|
||
|
|
https://capesandbox.com/ - CAPEv2 öffentliche Demoinstanz
|