Analyse des techniques d'évasion des sandbox malware

Que fait Analyse des techniques d'évasion des sandbox malware ?

Présentation

L'évasion de sandbox (MITRE ATT&CK T1497) permet aux malwares de détecter les environnements d'analyse et de modifier leur comportement pour éviter d'être détectés. Cette compétence analyse les rapports comportementaux de Cuckoo Sandbox et AnyRun pour détecter les indicateurs d'évasion, notamment les vérifications basées sur le temps (GetTickCount, QueryPerformanceCounter, inflation des délais), la détection d'artefacts de machine virtuelle (clés de registre, préfixes d'adresses MAC, noms de processus comme vmtoolsd.exe), les contrôles d'interaction utilisateur (mouvement de la souris, saisie clavier) et l'empreinte environnementale (taille du disque, nombre de CPU, RAM). Les règles de détection signalent les échantillons présentant ces comportements pour une analyse manuelle approfondie.

Quand l'utiliser

• Lors de l'investigation d'incidents de sécurité nécessitant l'analyse des techniques d'évasion des sandbox malware
• Lors de la création de règles de détection ou de requêtes de chasse aux menaces pour ce domaine
• Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
• Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque connexes

Prérequis

• Cuckoo Sandbox 2.0+ ou un compte AnyRun pour les rapports d'analyse comportementale
• Python 3.8+ avec la bibliothèque json pour l'analyse des rapports
• Exportations de rapports comportementaux au format JSON

Étapes

1. Analyser les fichiers JSON des rapports comportementaux de Cuckoo/AnyRun
2. Extraire les séquences d'appels API pour les fonctions liées au temps
3. Identifier la détection d'artefacts VM via les requêtes de registre et les appels WMI
4. Détecter l'inflation des délais en comparant les durées demandées et réelles
5. Signaler les contrôles d'interaction utilisateur (modèles GetCursorPos, GetAsyncKeyState)
6. Évaluer la sophistication de l'évasion en fonction du nombre et de la diversité des techniques
7. Cartographier les techniques détectées vers les sous-techniques MITRE ATT&CK T1497

Résultat attendu

Rapport JSON listant les techniques d'évasion détectées avec la cartographie MITRE ATT&CK, les preuves d'appels API, le score de sophistication de l'évasion et la classification par catégories d'évasion (temporel, détection VM, interaction utilisateur, empreinte environnementale).