DRAKVUF Sandbox 虚拟机监控器级恶意软件分析沙箱

使用条件与局限

• 所审阅的 master 提交即 2026-08-19 发布的 v0.21.0，GitHub 发布页以 Python wheel 形式提供；drakvuf-sandbox 软件包包含 drakrun 命令行、Web 应用和工作进程，要求 Python 3.9+ 并固定依赖版本，其中包括 flare-capa 7.4.0。主机需要支持 VT-x 和 EPT 的 Intel 处理器，运行 Debian 12 或 Ubuntu 22.04 并通过 GRUB 引导进入 Xen 4.17+（推荐 4.19）；入门指南要求至少两个核心和 8 GB 内存，README 则写 5 GB。Xen、LibVMI 和 DRAKVUF 引擎可使用预编译 .deb 软件包或从源码构建，另需安装 Redis、dnsmasq、tcpdump 等主机软件包，文档中的安装步骤均以 root 身份执行。
• 客户机为 Windows 10 x64（2004 或更高版本，推荐 22H2）或 Windows 7 x64，由 drakrun install 使用使用者自备的 Windows 安装 ISO 安装，经 VNC 完成设置，再由 drakrun postinstall 创建快照并生成配置文件。指南建议在参考快照中关闭 UAC 和 Windows Defender，并安装 Visual C++ 与 .NET 运行库；每次分析都可以切断客户机的互联网访问。嵌套虚拟化可在 Xen、KVM（实验性）以及启用虚拟化 EPT 的 VMware Workstation 下运行；不支持云主机、Hyper-V 和 VMware Fusion。
• 观测数据来自 DRAKVUF 插件：默认启用 apimon、filetracer、memdump、procmon、socketmon 和 tlsmon，regmon、syscalls、exmon 等为可选，Intel Processor Trace 相关插件在文档中标为实验性。文档提醒，插件过多会拖慢执行；监控在样本进程启动之后才开始；摘要中的观测基于 DRAKVUF 输出，确切的网络数据应查看 PCAP。S3 存储、ZFS 存储后端和 Karton 集成均为可选功能。
• 生成配置文件时，系统会把名为 drakshell 的小型 shellcode 代理注入 explorer.exe，用于执行准备命令。仓库包含 drakshell 及其他客户机辅助工具的源码、供完整性测试使用的 15 KB 样本 test/test.exe，以及固定版本的 DRAKVUF 和 Mandiant capa-rules 子模块。该测试套件需在需要项目凭据的 VM-runner 服务上安装沙箱，公开工作流只构建文档、工具、Web 包和 wheel，并检查 Python 代码规范。README 提醒维护沙箱并不容易，某些问题可能只在特定配置下复现；本合集仅审阅源码与文档，未安装该系统，也未分析任何样本。
• LICENSE 采用附加了作者澄清与例外条款的 GPL-2.0，其中包括对衍生作品的宽泛解释，并禁止与普通 GPL 软件组合，因此 GitHub 未识别出标准许可证；DRAKVUF 和 capa 规则各有其许可，Windows 客户机仍受 Microsoft 条款约束。这是在隔离客户机中运行不可信样本的防御性分析平台，本条目不描述任何规避技术。所审来源未确立与 REA 的关联。

关于此条目

类型

工具

类别

调试与动态分析

关联

基础工具

目标

二进制

来源复核于 2026-10-20

说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。

报告条目过时 ↗建议修正翻译 ↗

一手来源

1. README.md GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
2. docs/usage/getting_started.rst GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
3. docs/usage/basic_usage.rst GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
4. docs/usage/optional_features.rst GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
5. docs/ipt.rst GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
6. setup.py GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
7. requirements.txt GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
8. .gitmodules GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
9. test/test_sanity.py GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
10. test/conftest.py GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
11. .github/workflows/build.yml GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
12. LICENSE GitHub · CERT-Polska/drakvuf-sandbox · 修订 7c328ab
13. https://github.com/CERT-Polska/drakvuf-sandbox/releases/tag/v0.21.0