用途：在受控环境中引爆恶意软件样本，观察运行时行为，包括进程创建、文件系统与注册表变更、网络通信以及 API 调用；适用于静态分析筛出的可疑样本、需捕获网络流量与落地文件、确定完整感染链（二级载荷下载与持久化机制）、基于运行行为生成行为签名与 YARA 规则，以及批量样本自动化分析。若为可能通过共享传播的已知勒索软件变种，且沙箱网络隔离配置不当，则不应使用，需先确认网络隔离。
主要能力：Cuckoo 通过 API Hooking 记录 Windows API 调用的函数名、参数与返回值；生成进程树、网络抓包（PCAP）、内存转储与行为报告；可结合 InetSim 或 FakeNet-NG 模拟互联网服务，结合 Suricata 或 Snort 做网络层签名匹配。
使用方式：样本可通过命令行提交，例如 cuckoo submit /path/to/suspect.exe，或指定超时与虚拟机：cuckoo submit --machine win10_x64 --package exe --timeout 300 /path/to/suspect.exe；也可用 REST API，如 curl -F "file=@suspect.exe" -F "timeout=300" -F "machine=win10_x64" http://localhost:8090/tasks/create/file，或提交 URL。状态可查 curl http://localhost:8090/tasks/view/1，日志可 tail -f /opt/cuckoo/log/cuckoo.log，网页界面位于 http://localhost:8080/analysis/<task_id>/。报告 JSON 位于 /opt/cuckoo/storage/analyses/1/reports/report.json，PCAP 与内存转储分别位于 dump.pcap 与 memory.dmp，可用 Volatility 分析，如 vol3 -f memory.dmp windows.pslist。
适用场景：多阶段释放器的解包与载荷投递分析、C2 基础设施识别、持久化机制（Run 键、计划任务、服务）排查等。
限制：需部署 Cuckoo 3.x（推荐 Ubuntu 22.04）、配置 Windows 10/11 客户机快照与 VirtualBox/KVM/VMware 后端，并准备隔离网络与至少约 500 GB 磁盘空间；分析超时不足可能无法触发二级载荷；未配置 InetSim 可能导致样本无法完成 C2 检查；样本若检测虚拟环境可能立即退出；落地文件需单独分析。具体配置细节在资料中暂未提供。