Análisis de Técnicas de Evasión de Sandbox en Malware

¿Qué hace Análisis de Técnicas de Evasión de Sandbox en Malware?

Visión General

La evasión de sandbox (MITRE ATT&CK T1497) permite que el malware detecte entornos de análisis y altere su comportamiento para evitar ser detectado. Esta habilidad analiza informes de comportamiento de Cuckoo Sandbox y AnyRun en busca de indicadores de evasión, incluyendo comprobaciones basadas en tiempo (GetTickCount, QueryPerformanceCounter, inflación de sleeps), detección de artefactos de VM (claves de registro, prefijos de direcciones MAC, nombres de procesos como vmtoolsd.exe), verificaciones de interacción del usuario (movimiento del ratón, entrada del teclado) y fingerprinting del entorno (tamaño del disco, número de CPUs, RAM). Las reglas de detección señalan las muestras que exhiben estos comportamientos para un análisis manual más profundo.

Cuándo Usarlo

• Al investigar incidentes de seguridad que requieren analizar técnicas de evasión de sandbox en malware
• Al construir reglas de detección o consultas de caza de amenazas para este dominio
• Cuando los analistas del SOC necesitan procedimientos estructurados para este tipo de análisis
• Al validar la cobertura de monitoreo de seguridad para técnicas de ataque relacionadas

Requisitos Previos

• Cuckoo Sandbox 2.0+ o cuenta de AnyRun para informes de análisis de comportamiento
• Python 3.8+ con la librería json para el análisis de informes
• Exportaciones de informes de comportamiento en formato JSON

Pasos

1. Analizar los archivos JSON de informes de comportamiento de Cuckoo/AnyRun
2. Extraer las secuencias de llamadas API para funciones relacionadas con el tiempo
3. Identificar la detección de artefactos de VM mediante consultas al registro y llamadas WMI
4. Detectar la inflación de sleeps comparando la duración solicitada con la duración real del sleep
5. Señalar las comprobaciones de interacción del usuario (patrones de GetCursorPos, GetAsyncKeyState)
6. Puntuar la sofisticación de la evasión según la cantidad y diversidad de técnicas
7. Mapear las técnicas detectadas a las sub-técnicas de MITRE ATT&CK T1497

Salida Esperada

Informe JSON que enumera las técnicas de evasión detectadas con el mapeo a MITRE ATT&CK, evidencia de llamadas API, puntuación de sofisticación de evasión y clasificación de las categorías de evasión (tiempo, detección de VM, interacción del usuario, fingerprinting del entorno).