假设存在某个APT组织的样本分析结果，如下图所示，每个文件夹对应一个样本，其命名序号为样本在Cape沙箱中的分析顺序，比如“203”。

每个文件夹中的内容如下图所示：

当Cape分析完成，所有的分析都存储在storage/analyses/目录下，该目录位于一个子目录下，该子目录以增量数字ID命名，该数字ID表示数据库中的分析任务。

.
|--%20analysis.conf
|--%20analysis.log
|--%20binary
|--%20dump.pcap
|--%20memory.dmp
|--%20files
|%20%20%20|--%201234567890
|%20%20%20%20%20%20%20`--%20dropped.exe
|--%20logs
|%20%20%20|--%201232.raw
|%20%20%20|--%201540.raw
|%20%20%20`--%201118.raw
|--%20reports
|%20%20%20|--%20report.html
|%20%20%20|--%20report.json
|%20%20%20|--%20report.maec-4.0.1.xml
|%20%20%20`--%20report.metadata.xml
`--%20shots
%20%20%20%20|--%200001.jpg
    |-- 0002.jpg
    |-- 0003.jpg
    `-- 0004.jpg

2.文件批量提取

本文的目标是将每个Report文件夹中的两个报告提取出来，并利用样本的MD5值命名，从而为第五部分API特征提取提供帮助。

• report.html
• report.json

需要提取如下图所示的MD5值来命名文件。

关键代码如下：

"target": {
    "category": "file",
    "file": {
        "name": "033ad372890****ffc827fbac.bin",
        "path": "/opt/CAPEv2/storage/binaries/26f5e813e34c05cd1e55****c24e58546e60",
        "guest_paths": null,
        "size": 70803,
        "crc32": "12BCC81F",
        "md5": "033ad372890****0ffc827fbac",
        "sha1": "03b084e2c1c039****81d5f7d60eae",
        "sha256": "26f5e813e34c05cd1e5532****416232c24e58546e60",
        "sha512": "644860affd840d140198cea****bed41cca7887faebc",
        "ssdeep": "1536:GiA3gHfirellrelGrzB/QhoCDW+4oDCdYH****3gHfirezre8/aDCdFoBjRaUnq",
        "type": "Microsoft Word 2007+",
        "yara": [],
        "cape_yara": [],
        "clamav": []
    }
},

下面是提取文件名称的Python代码。json提取所利用的扩展包为JsonSearch，在前文中有相关描述。

• 恶意软件分析 (2)静态分析Capa经典工具批量提取静态特征和ATT&CK技战术

首先，定位report.json文件位置并分析Json文件的关键Key和Value值。

#coding:utf-8#By:Eastmount CSDN 2023-04-10import csvimport reimport osimport jsonfrom jsonsearch import JsonSearch
def getAllFiles(targetDir):    listFiles = os.listdir(targetDir)    return listFiles
#-------------------------1.判断指定文件-----------------------------aptname = "AAAA"filenames = getAllFiles(aptname)#['203', '204', ...,'277', '278']
i = 0count = 0  #样本数量while i<len(filenames):    #判断该文件夹中是否存在reports件夹 eg:Aggah\277\reports    filename = aptname + "\\" + filenames[i] + "\\reports"    print(filename)    if os.path.exists(filename):        #report.html report.json report.pdf summary-report.html        for n in os.listdir(filename):            if n=="report.json":                #----------------------2.提取MD5名称------------------                jsonfile = filename + "\\report.json"                print(jsonfile)                with open(jsonfile) as fp:                    data = json.load(fp)                    print(data.keys())                count += 1    i += 1    print("Cape沙箱成功提取样本特征数量:", count)

输出结果如下图所示，

• dict_keys([‘statistics’, ‘CAPE’, ‘info’, ‘behavior’, ‘curtain’, ‘debug’, ‘deduplicated_shots’, ‘dropped’, ‘network’, ‘procdump’, ‘static’, ‘strings’, ‘suricata’, ‘target’, ‘procmemory’, ‘malfamily_tag’, ‘signatures’, ‘malscore’, ‘ttps’])

其次，定位target标签中的name位置，提取文件对应的md5值，并对文件进行重新命名，复制到指定文件夹中。

#coding:utf-8#By:Eastmount CSDN 2023-04-10import csvimport reimport osimport jsonfrom jsonsearch import JsonSearchimport shutil
def getAllFiles(targetDir):    listFiles = os.listdir(targetDir)    return listFiles
#-------------------------1.判断指定文件-----------------------------aptname = "AAAA"writename = aptname + "-Result"filenames = getAllFiles(aptname)#['203', '204', ...,'277', '278']
i = 0count = 0  #样本数量while i<len(filenames):    #判断该文件夹中是否存在reports件夹 eg:Aggah\277\reports    filename = aptname + "\\" + filenames[i] + "\\reports"    print(filename)    if os.path.exists(filename):        #report.html report.json report.pdf summary-report.html        for n in os.listdir(filename):            if n=="report.json":                #----------------------2.提取MD5名称------------------                jsonfile = filename + "\\report.json"                htmlfile = filename + "\\report.html"                print(jsonfile)                with open(jsonfile) as fp:                    data = json.load(fp)                    #print(data.keys())                    target = data["target"]                    #print(target)                                        #查找name对应的值                    jsondata = JsonSearch(object=target,mode='j')                    name = jsondata.search_all_value(key='name')                    md5 = name[0].split(".")[0]                    print(md5) #fb41ec1ea500beae2a7d5d373ebb906b.bin                                        #-----------------3.文件写入--------------------                    if not os.path.exists(writename):                        os.mkdir(writename)                    fname = writename + "\\" + md5 + ".json"                    shutil.copy(jsonfile, fname)                    fname = writename + "\\" + md5 + ".html"                    shutil.copy(htmlfile, fname)                count += 1    i += 1    print("Cape沙箱成功提取样本特征数量:", count)

运行结果如下图所示：

最后，我们需要将每个Json文件的API特征提取到执行CSV数据集中。

五.Python提取Json文件API特征和时间序列

首先，我们在VS Code中下载一个折叠解析Json的工具，显示report.json的结果如下图所示：

其中，API特征位于“behavior”->“calls”处，接着提取“api”特征。

接着，撰写代码提取Json文件的API特征，利用JsonSearch库实现，并且部分特征为空值，如下图所示。

完整代码如下：

#coding:utf-8#By:Eastmount CSDN 2023-04-10import csvimport reimport osimport jsonfrom jsonsearch import JsonSearchimport shutil
def getAllFiles(targetDir):    listFiles = os.listdir(targetDir)    return listFiles
apt = "AAAA"aptname = apt + "-Result"filenames = getAllFiles(aptname)print(len(filenames))
writename = apt + "_result.csv"fw = open(writename, mode="w", newline="")writer = csv.writer(fw)writer.writerow(['no', 'apt', 'md5', 'api'])
i = 0while i<len(filenames):    #打开json文件    name = aptname + "\\" + filenames[i]    print(name)    api_str = ""    md5 = filenames[i].split(".")[0]    with open(name, encoding='utf-8') as fp:        #特征解析        data = json.load(fp)        behavior = data["behavior"]        jsondata = JsonSearch(object=behavior, mode='j')        api = jsondata.search_all_value(key="api")        print("特征数量:", len(api))        print(api)
        #特征存储        k = 0        while k<len(api):            value = str(api[k])            api_str += value + ";"            k += 1        else:            print("提取成功")            #print(api_str)    i += 1    #文件存储    writer.writerow([str(i), apt, md5, api_str])    print("------------------------------\n\n")fw.close()

输出结果如下图所示：

六.总结

写到这里这篇文章就结束，希望对您有所帮助。忙碌的四月，真的很忙，项目本子论文毕业，等忙完后好好写几篇安全博客，感谢支持和陪伴，尤其是家人的鼓励和支持， 继续加油！

2023年4月10日，终于完成阶段性工作，凌晨迫不及待来写一篇博客，纪念下，感恩下！娜璋白首。

• 一.恶意软件分析

• 1.静态特征

• 2.动态特征

• 二.Cuckoo和Cape沙箱简介

• 1.Cuckoo沙箱简介

• 2.Cape沙箱简介

• 3.Cape原理

• 三.Cape沙箱识别单样本特征

• 1.启动沙箱关键步骤

• 2.样本分析

• 四.Python批量提取Report报告

• 1.分析结果

• 2.文件批量提取

• 五.Python提取Json文件API特征和时间序列

• 六.总结

提问：

• 在真实样本中，恶意软件会被加壳和混淆处理，常用脱壳工具为Unipack。那么，大家可以思考下，CAPA提取的API特征都是恶意软件中均执行的吗？同时，这些关键特征是否都被提取呢？
• 请大家思考静态特征和动态特征各自的优缺点。
• CAPE沙箱如何实现批量提取，同时如何定制化规则呢？
• CAPE沙箱如何捕获的API特征，通过HOOK机制吗？还有哪些可以优化的地方呢？
• CAPE沙箱究竟能检测逃逸性、高隐蔽的恶意软件吗？尤其APT攻击的样本。
• 如何撰写代码提取Json中所需特征，比如常见的API。
• CAPA是经典的静态特征提取工具，那么如何提取动态特征呢？动态特征在恶意软件检测中又扮演什么角色？
• 个人感觉静态分析和动态分析是很多年都在研究的内容，目前会与深度学习结合。那么，未来的方法将如何创新呢？怎么更好地自动化识别恶意软件行为，并且批量识别且更少依赖专家知识。

三月应该是今年最忙碌的一个月了，好多事情。希望一切顺利，更希望四月后能沉下心来读论文和写论文，继续加油，只争朝夕。

感谢大家的支持和关注。继续加油！感恩，娜璋白首。

(By:Eastmount 2023-04-12 夜于火星)

参考文章如下，感谢这些大佬。

• [1] https://github.com/cuckoosandbox/cuckoo
• [2] https://github.com/kevoreilly/CAPEv2
• [3] https://capesandbox.com
• [4] https://capev2.readthedocs.io/en/latest/
• [5] https://capev2.readthedocs.io/en/latest/usage/submit.html
• [6] Cuckoo变种-CAPE简介 – Threathunter

前文回顾（下面的超链接可以点击喔）：

• [系统安全] 一.什么是逆向分析、逆向分析应用及经典扫雷游戏逆向
• [系统安全] 二.如何学好逆向分析及吕布传游戏逆向案例
• [系统安全] 三.IDA Pro反汇编工具初识及逆向工程解密实战
• [系统安全] 四.OllyDbg动态分析工具基础用法及Crakeme逆向破解
• [系统安全] 五.OllyDbg和Cheat Engine工具逆向分析植物大战僵尸游戏
• [系统安全] 六.逆向分析之条件语句和循环语句源码还原及流程控制
• [系统安全] 七.逆向分析之PE病毒原理、C++实现文件加解密及OllyDbg逆向
• [系统安全] 八.Windows漏洞利用之CVE-2019-0708复现及蓝屏攻击
• [系统安全] 九.Windows漏洞利用之MS08-067远程代码执行漏洞复现及深度提权
• [系统安全] 十.Windows漏洞利用之SMBv3服务远程代码执行漏洞（CVE-2020-0796）复现
• [系统安全] 十一.那些年的熊猫烧香及PE病毒行为机理分析
• [系统安全] 十二.熊猫烧香病毒IDA和OD逆向分析（上）病毒初始化
• [系统安全] 十三.熊猫烧香病毒IDA和OD逆向分析（中）病毒释放机理
• [系统安全] 十四.熊猫烧香病毒IDA和OD逆向分析（下）病毒感染配置
• [系统安全] 十五.Chrome密码保存功能渗透解析、Chrome蓝屏漏洞及音乐软件漏洞复现
• [系统安全] 十六.PE文件逆向基础知识(PE解析、PE编辑工具和PE修改)
• [系统安全] 十七.Windows PE病毒概念、分类及感染方式详解
• [系统安全] 十八.病毒攻防机理及WinRAR恶意劫持漏洞(bat病毒、自启动、蓝屏攻击)
• [系统安全] 十九.宏病毒之入门基础、防御措施、自发邮件及APT28宏样本分析
• [系统安全] 二十.PE数字签名之(上)什么是数字签名及Signtool签名工具详解
• [系统安全] 二十一.PE数字签名之(中)Signcode、PEView、010Editor、Asn1View工具用法
• [系统安全] 二十二.PE数字签名之(下)微软证书漏洞CVE-2020-0601复现及Windows验证机制分析
• [系统安全] 二十三.逆向分析之OllyDbg动态调试复习及TraceMe案例分析
• [系统安全] 二十四.逆向分析之OllyDbg调试INT3断点、反调试、硬件断点与内存断点
• [系统安全] 二十五.WannaCry勒索病毒分析 (1)Python复现永恒之蓝漏洞实现勒索加密
• [系统安全] 二十六.WannaCry勒索病毒分析 (2)MS17-010漏洞利用及解析
• [系统安全] 二十七.WannaCry勒索病毒分析 (3)蠕虫传播机制分析及IDA和OD逆向
• [系统安全] 二十八.CS逆向分析 (1)你的游戏子弹用完了吗？Cheat Engine工具入门
• [系统安全] 二十九.外部威胁防护和勒索病毒对抗（深信服视频学习）
• [系统安全] 三十.WannaCry勒索病毒分析 (4)全网“最“详细的蠕虫传播机制解读
• [系统安全] 三十一.恶意代码检测(1)恶意代码攻击溯源及恶意样本分析
• [系统安全] 三十二.恶意代码检测(2)常用技术万字详解及总结
• [系统安全] 三十三.恶意代码检测(3)基于机器学习的恶意代码检测技术
• [系统安全] 三十四.恶意代码检测(4)编写代码自动提取IAT表、字符串及时间戳
• [系统安全] 三十五.Procmon工具基本用法及文件进程、注册表查看
• [系统安全] 三十六.学术分享之基于溯源图的APT攻击检测安全顶会论文总结
• [系统安全] 三十七.Metasploit技术之基础用法万字详解及防御机理
• [系统安全] 三十八.Metasploit后渗透技术信息收集、权限提权和功能模块详解及防护建议
• [系统安全] 三十九.恶意代码同源分析及BinDiff软件基础用法
• [系统安全] 四十.Powershell恶意代码检测系列 (1)Powershell基础入门及管道和变量的用法
• [系统安全] 四十一.Powershell恶意代码检测系列 (2)Powershell基础语法和注册表操作
• [系统安全] 四十二.Powershell恶意代码检测系列 (3)PowerSploit脚本渗透详解
• [系统安全] 四十三.Powershell恶意代码检测系列 (4)论文总结及抽象语法树（AST）提取
• [系统安全] 四十四.恶意软件分析 (1)静态分析Capa经典工具的基本用法万字详解
• [系统安全] 四十五.恶意软件分析 (2)静态分析Capa经典工具批量提取静态特征和ATT&CK技战术
• [系统安全] 四十六.恶意软件分析 (3)动态分析经典沙箱Cape的安装和基础用法详解
• [系统安全] 四十七.恶意软件分析 (4)Cape沙箱批量提取动态API特征
• [系统安全] 四十八.恶意软件分析 (5)Cape沙箱分析结果Report报告的API序列批量提取详解

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：娜璋AI安全之家 eastmount eastmount《[系统安全] 四十八.恶意软件分析 (5)Cape沙箱分析结果Report报告的API序列批量提取详解》