ELFEN: Automated Linux Malware Analysis Sandbox

by ddos · April 2, 2025

ELFEN: Linux Malware Analysis Sandbox

ELFEN is a dockerized sandbox for analyzing Linux (file type: ELF) malware. It leverages an array of open-source technologies to perform both static and dynamic analysis. Results are available through both the GUI and API.

Currently, ELFEN supports the analysis of ELF binaries for the following architectures:

x86-64
MIPS 32-bit big/little-endian
PowerPC 32-bit big-endian
ARMv5 32-bit little-endian

API

ELFEN provides an API to submit samples and retrieve analysis reports. Ready-to-use scripts are available under the scripts directory.

API Token

To retrieve your API token, visit http://127.0.0.1:8000/api/token/ and login with your username and password. If you’re using the default Django superuser, the credentials are admin:admin.

You should now see two values: access and refresh tokens. The access token will be valid for 7 days after which it will have to be re-generated (visit http://127.0.0.1:8000/api/token/refresh/) using the refresh token (valid for 30 days).

Submitting Samples

Copy the access token into scripts/submit_samples.py. Given a file containing newline-separated full paths to samples, this script can be used to submit them to ELFEN. The output JSON is a mapping between the submitted sample path and ELFEN task UUID.

[pastacode lang=”markup” message=”” highlight=”” provider=”manual” manual=”%24%20cat%20demo_submit%20%0A%2Ffull%2Fpath%2Fto%2F1af85af86c92c06dd2d127e0b462679f60d085cfc28cf13c79988b7ef50b95fe%0A%0A%24%20python%20submit_samples.py%20-f%20demo_submit%20-o%20output.json%0ASubmitted%20%2Ffull%2Fpath%2Fto%2F1af85af86c92c06dd2d127e0b462679f60d085cfc28cf13c79988b7ef50b95fe%20successfully.%0A%0A%24%20cat%20output.json%20%0A%7B%0A%20%20%20%20%22%2Ffull%2Fpath%2Fto%2F1af85af86c92c06dd2d127e0b462679f60d085cfc28cf13c79988b7ef50b95fe%22%3A%20%224122f552-1897-48d0-b906-bb144c6e4010%22%0A%7D”/]

Retrieving Full Analysis Report

Copy the access token into scripts/get_report_task.py. Given a task UUID, it retrieves the full analysis JSON report.

[pastacode lang=”markup” message=”” highlight=”” provider=”manual” manual=”%24%20python3%20get_report_task.py%20-u%204122f552-1897-48d0-b906-bb144c6e4010%20-o%20report.json%0AReport%20retrieved%20successfully%20for%204122f552-1897-48d0-b906-bb144c6e4010.%0A%0A%24%20du%20-h%20report.json%20%0A56K%20report.json”/]

Retrieving Analysis Report for Given Backend

ELFEN leverages multiple backends to conduct analysis. Some backends like elfheader and capa are associated with static analysis, whereas others such as fileops, c2config are associated with dynamic analysis. Reports can be retrieved for a given backend using scripts/get_report_backend.py. Copy the access token into the script.

[pastacode lang=”markup” message=”” highlight=”” provider=”manual” manual=”%24%20python3%20get_report_backend.py%20-u%204122f552-1897-48d0-b906-bb144c6e4010%20-b%20procops%20-o%20report.json%0AReport%20retrieved%20successfully%20for%20procops%20for%204122f552-1897-48d0-b906-bb144c6e4010.%0A%0A%24%20cat%20report.json%20%7C%20jq%0A%7B%0A%20%20%22submission_uuid%22%3A%20%224122f552-1897-48d0-b906-bb144c6e4010%22%2C%0A%20%20%22backend%22%3A%20%22procops%22%2C%0A%20%20%22report%22%3A%20%7B%0A%20%20%20%20%22errors%22%3A%20false%2C%0A%20%20%20%20%22error_msg%22%3A%20%5B%5D%2C%0A%20%20%20%20%22data%22%3A%20%5B%0A%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%22ts%22%3A%20%2205%3A10%3A03.360807%20UTC%22%2C%0A%20%20%20%20%20%20%20%20%22pid%22%3A%20130%2C%0A%20%20%20%20%20%20%20%20%22procname%22%3A%20%22Ba9iedKN%22%2C%0A%20%20%20%20%20%20%20%20%22func%22%3A%20%22getpid%22%2C%0A%20%20%20%20%20%20%20%20%22args%22%3A%20%22%22%2C%0A%20%20%20%20%20%20%20%20%22ret%22%3A%20130%0A%20%20%20%20%20%20%7D%2C%0A%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%22ts%22%3A%20%2205%3A10%3A03.361229%20UTC%22%2C%0A%20%20%20%20%20%20%20%20%22pid%22%3A%20130%2C%0A%20%20%20%20%20%20%20%20%22procname%22%3A%20%22Ba9iedKN%22%2C%0A%20%20%20%20%20%20%20%20%22func%22%3A%20%22getpid%22%2C%0A%20%20%20%20%20%20%20%20%22args%22%3A%20%22%22%2C%0A%20%20%20%20%20%20%20%20%22ret%22%3A%20130%0A%20%20%20%20%20%20%7D%2C%0A%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%22ts%22%3A%20%2205%3A10%3A03.363962%20UTC%22%2C%0A%20%20%20%20%20%20%20%20%22pid%22%3A%20130%2C%0A%20%20%20%20%20%20%20%20%22procname%22%3A%20%22Ba9iedKN%22%2C%0A%20%20%20%20%20%20%20%20%22func%22%3A%20%22fork%22%2C%0A%20%20%20%20%20%20%20%20%22args%22%3A%20%22%22%2C%0A%20%20%20%20%20%20%20%20%22ret%22%3A%20132%0A%20%20%20%20%20%20%7D%2C%0A%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%22ts%22%3A%20%2205%3A10%3A03.388397%20UTC%22%2C%0A%20%20%20%20%20%20%20%20%22pid%22%3A%20132%2C%0A%20%20%20%20%20%20%20%20%22procname%22%3A%20%22Ba9iedKN%22%2C%0A%20%20%20%20%20%20%20%20%22func%22%3A%20%22fork%22%2C%0A%20%20%20%20%20%20%20%20%22args%22%3A%20%22%22%2C%0A%20%20%20%20%20%20%20%20%22ret%22%3A%20133%0A%20%20%20%20%20%20%7D%0A%20%20%20%20%5D%0A%20%20%7D%0A%7D”/]