Cuckoo Sandbox

Définition

Cuckoo Sandbox est un système open source d'analyse automatisée de malwares, historiquement développé par la Honeynet Project, exécutant des fichiers suspects, exécutables Windows, documents Office, PDF, scripts, APK Android, dans des machines virtuelles isolées instrumentées pour observer leur comportement réel. L'architecture repose sur un serveur d'orchestration Python et des agents déployés dans les VMs invitées, VirtualBox, KVM ou VMware, qui capturent les appels API Windows via hooking, les modifications du système de fichiers, les clés de registre créées ou modifiées, les processus enfants générés et le trafic réseau intercepté via tcpdump. À l'issue de l'exécution, généralement limitée à quelques minutes, Cuckoo génère un rapport JSON détaillé incluant une timeline comportementale, des captures d'écran, la mémoire du processus dumpée et un score de risque calculé selon des signatures Yara et des règles heuristiques. Le projet, bien que peu maintenu depuis l'arrêt du développement officiel autour de 2020, reste largement utilisé en interne dans les SOC et laboratoires de recherche, souvent sous forme de forks communautaires comme CAPE, Config And Payload Extraction, qui ajoute l'extraction automatique de configurations de malwares packés. Cuckoo constitue une brique fondatrice de nombreuses plateformes de threat intelligence et pipelines d'analyse automatisée à grande échelle, malgré la concurrence croissante de sandboxes cloud plus faciles à maintenir.