o processo de submissao da amostra pode demorar um pouco mais)5 O processo de analise e extenso e mais demorado. Esta etapa pode ser acompanhaobservando oterminal (e aconselhavel fazer o acompanhamento caso ocorra algumerro critico) ou pela interface web.Para iniciar a interface web basta acessar a pasta~/bin/cuckoo/web/ e enviar o comando./manage.py runserver. [figura4]Figura 4Dica: Clicando com o botao direito do mouse sobre o link http://127.0.0.1:8000, surgira a opcao abrir link. Escolha esta opcao e o navegador padraodo seu Linux sera ativado com a url ativa.Para fins de acompanhamento do processo deanalise, e mais produtivo monitorar o terminal. Se o processo de analise for completado comsucesso, a interface web e bem mais versatil e rica emdetalhes. [figura 5]Figura 5Conteudo da tela:1 Dashboard (Painel de instrumentos): ea pagina inicial. Nela e exibido um relatorio resumido das acoes analises realizadas pelo CuckooSandBox. [dash]dashEntre as informacoes, estao; quantas tarefas foramrealizadas, completadas, falhas, erros e etc. A proxima figura [figura6] mostra o conteudo da guia Recent, que lista as tarefas deanalise feitas anteriormente.Figura 6Dica: Na coluna MD5, os caracteres do hash calculado sao hiperlinks.Clicando neles, e aberta a pagina com o relatorio completo de cada um dosarquivos.Clicando no hash do item exercicio1.exe,o navegador exibe o relatorio completo dos resultados desta amostra.Aqui sao mostradas as seguintes guias:QuickOverview => Static Analysis =>Behavioral Analysis => NetworkAnalysis => Dropped Files =>MemoryAnalysis => Admin [figura 7]Figura 7Cada uma das guias exibe um extensoconteudo que sera explicado abaixo de maneira reduzida devido a imensaquantidade de dados para cada biblioteca de analise do Cuckoo SandBox.Resultados: Referencia / Arquivo / Comando: Comentario ou Acao: exercicio1.exe Amostra submetida a analise net user lucas%d 123456 /add Comando que adiciona um novo usuario 'Lucas' e a senha '123456' a lista de contas do Windows. Detectado em: http://www.herdprotect.com/knowledgebase_detections.aspx?engine=qihoo-360 Conclusoes sobre exercicio1.exe:Devido a sua natureza de comprovacao academica, trata-se deum Malware cujas acoes nao levaram a maiores danos. Entretanto, a criacao de umusuario clandestino no sistema e um enderecamento IP falso, foram (e aindasao) grandes aliados de golpistas. Referencia / Arquivo / Comando: Comentario ou Acao: exercicio2.exe Amostra submetida a analise NtCreateFile Abre o arquivo 'hosts' localizado em C:\WINDOWS\system32\drivers\etc\ NtWriteFile Adiciona a entrada de Resolucao de IP 200.221.2.45 www.terra.com.br O IP em questao e do dominio www.uol.com.br. Porem, se o usuario tentar acessar o endereco do UOL, sera direcionado para o site Terra. ExitProcess Encerra todas threads (ou processos) do sistema Conclusoes sobre exercicio2.exe:Esta amostra faz alteracoes importantes nos sistema e, aamais significativa, acessa o Gerenciador de servicos do Windows e para oservico de gerenciamento de temas. Extrapolando as acoes, qualquer outroservico poderia ser afetado (como veremos a seguir) e tornar a maquinavulneravel a acoes mais invasivas ou permiti-las. Referencia / Arquivo / Comando: Comentario ou Acao: WormAcademic.exe Amostra submetida a analise cmd.exe abre o terminal de comandos do Windows sethc.exe reseta a senha do admin do windows .original => utilman.exe cria uma tecla aderente de abertura do cmd do Windows (shif pressionada 5 x) netsh.exe => Firewall set opmode disable desabilita o firewall do windows SYSTEM\CurrentControlSet\Servic es\Themes para o servico de temas do windows WinNT:// => ,Computer => WormAcademic