Como audito um executável para garantir que ele não seja malicioso?

Gostaria de saber se existe uma ferramenta ou técnica para executar um executável em um ambiente isolado, talvez em uma máquina virtual. Enquanto o programa estiver sendo executado, desejo poder auditar o aplicativo, ou seja, ver tudo o que o executável está fazendo (acesso a arquivos e rede).

Ao fazer isso, quero poder verificar se o executável é malicioso, ou seja, executa operações que não deveriam (leitura / gravação em arquivos, escuta / conexão às portas de rede, ...).

Eu não me importaria de algo com uma interface gráfica.

é uma ferramenta ou talvez uma máquina virtual para executar um executável dentro dela

Sim, isso é chamado de virtualização de aplicativos .

O LXC (Linux Containers) é uma ferramenta comumente usada para configurar isso. Ele permite que você configure uma rede completamente separada para esse aplicativo e o coloca em uma espécie de máquina virtual, como um chroot. Isso é principalmente para fins de segurança (uma "prisão"), não para auditoria.

Acho que está um pouco fora do escopo da pergunta explicar os contêineres completos do LXC e também como auditá-lo exatamente. Abaixo está um pouco sobre como começar, no entanto.

Enquanto o programa estiver em execução, quero poder ver tudo o que o executável está fazendo (acesso a arquivos e rede).

Isso pode ser feito usando stracee eu fiz a mesma pergunta no Unix e Linux:

• Como monitoro os arquivos abertos de um processo em tempo real? (também abrange rede)

Como respondido lá, tudo se resume a basicamente

strace -t -e trace=open,close,read,getdents,write,connect,accept command-here

Importante: quando você vê isso acontecendo, o dano já ocorreu.

Contêiner de aplicativo LXC

Deste artigo . Tudo se resume a:

1. lxc-macvlan.conf arquivo de configuração:

   # example as found on /usr/share/doc/lxc/examples/lxc-macvlan.conf
   # Container with network virtualized using the macvlan device driver
   lxc.utsname = alpha
   lxc.network.type = macvlan
   lxc.network.flags = up
   lxc.network.link = eth0 # or eth2 or any of your NICs
   lxc.network.hwaddr = 4a:49:43:49:79:bd
   lxc.network.ipv4 = 0.0.0.0/24
   

2. Inicie usando lxc-execute:

   sudo lxc-execute -n bash-test2 -f lxc-macvlan.conf /bin/bash
   

Observe que o LXC oferece o tipo de sistema e aplicativo de contêineres. Você está procurando por contêineres de aplicativos aqui.

O que você está procurando é uma ferramenta que mostre como um programa interage com o sistema (mais especificamente, com o kernel). Os programas interagem com o sistema usando syscalls. Exemplos de syscalls são:

• open - usado para abrir um arquivo;
• reade write- usado para ler / gravar de / para um descritor de arquivo;
• connect - usado para conectar um soquete a um par;
• muitos, muitos outros (veja man syscalls).

O ponto é: syscalls podem ser rastreados usando ptrace(2). Então, basicamente, você está procurando ferramentas construídas ptrace. Uma dessas ferramentas é strace(1), que é um aplicativo de terminal que assume um comando como argumento e gera:

• o sistema chama o programa está chamando;
• os argumentos usados ​​para fazer os syscalls;
• o resultado dos syscalls.

A saída é do tipo C. Aqui está um exemplo:

$ strace cat test
execve("/bin/cat", ["cat", "test"], [/* 55 vars */]) = 0
/* ... */
open("test", O_RDONLY)                 = 3
/* ... */
read(3, "hello\n", 32768)               = 6
write(1, "hello\n", 6)                  = 6
read(3, "", 32768)                      = 0
/* ... */

Lá você vê que cat testestá abrindo um arquivo chamado test, lendo seu conteúdo ( hello) e colocando-o na saída padrão.

stracepode produzir muita saída, portanto, leia sua página de manual ( man strace), especialmente a documentação da -esaída que permitirá ver apenas os syscalls nos quais você está interessado.

Infelizmente, não conheço alternativas gráficas ou fáceis de usar. Se você deseja procurá-los, ptracedeve ser uma das suas palavras-chave de pesquisa.

Sobre o isolamento, existem muitas tecnologias por aí. Chroots, contêineres Linux (atualmente em desenvolvimento e incompletos), virtualização de software e paravirtualização são os mais utilizados. No entanto, este é um tópico muito grande para discutir. Sugiro que você abra uma nova pergunta se desejar obter mais detalhes.

Dê uma olhada no AppArmor . Você pode adicionar um perfil limitado para um executável e colocá-lo no modo "reclamar", onde as ações serão permitidas, mas registradas, o que acho que atende aos seus requisitos.

Mas observe que isso não é realmente suficiente. Um binário malicioso inteligente pode ser capaz de detectar que está sob observação e não executar ações maliciosas, exceto quando não está sendo observado.

O AppArmor vai além disso e permite que um aplicativo seja restringido para sempre apenas às operações aprovadas. Os aplicativos que terminam no Centro de Software Ubuntu são fornecidos com perfis do AppArmor.

Como você identificou, uma máquina virtual seria melhor para fornecer isolamento, principalmente se você tiver motivos para acreditar que um executável é malicioso em primeiro lugar. Mas mesmo isso não é perfeito, já que as vulnerabilidades na plataforma de virtualização (hardware e software) podem ser exploradas por códigos maliciosos para ocorrer. Aqui está um exemplo de uma vulnerabilidade de virtualização do mundo real: http://www.kb.cert.org/vuls/id/649219

Você pode criar um snap .

Os snaps são "confinados ao sistema operacional e outros aplicativos por meio de mecanismos de segurança, mas podem trocar conteúdo e funções com outros snaps de acordo com políticas refinadas controladas pelo usuário e pelos padrões do sistema operacional". (em http://snapcraft.io/docs/snaps/intro )

Eles fornecem um isolamento adicional além do AppArmor, por exemplo, usando o seccomp também.

Além disso, um snap pode ser independente para facilitar a distribuição e atualizações atômicas em seu sistema.

Obrigado, as respostas foram muito úteis ...

Também encontrei o seguinte: https://downloads.cuckoosandbox.org/docs/

O que é uma ferramenta muito interessante para analisar malware enquanto ele fica em uma VM