Analyzing Malware Sandbox Evasion Techniques（マルウェアサンドボックス回避手法の解析）
概要
サンドボックス回避（MITRE ATT&CK T1497）により、マルウェアは分析環境を検出し、挙動を変更して検出を回避します。このスキルは、Cuckoo SandboxおよびAnyRunの行動分析レポートから、タイミングベースのチェック（GetTickCount、QueryPerformanceCounter、スリープ時間の水増し）、VMアーティファクト検出（レジストリキー、MACアドレスプレフィックス、vmtoolsd.exeなどのプロセス名）、ユーザー操作チェック（マウス移動、キーボード入力）、環境フィンガープリンティング（ディスクサイズ、CPUコア数、RAM）といった回避の兆候を解析します。検出ルールにより、これらの挙動を示すサンプルにフラグを立て、さらに深い手動分析へと導きます。
使用タイミング
- マルウェアのサンドボックス回避手法の解析が必要なセキュリティインシデントを調査する場合
- この領域に関する検知ルールや脅威ハンティングクエリを構築する場合
- SOCアナリストがこの分析タイプのための構造化された手順を必要とする場合
- 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合
前提条件
- 行動分析レポートのためのCuckoo Sandbox 2.0+ または AnyRunアカウント
- Python 3.8+ とレポート解析用のjsonライブラリ
- JSON形式の行動分析レポートエクスポート
手順
- Cuckoo/AnyRunの行動分析レポートJSONファイルを解析する
- タイミング関連関数のAPI呼び出しシーケンスを抽出する
- レジストリクエリやWMI呼び出しを介したVMアーティファクト検出を特定する
- 要求されたスリープ時間と実際のスリープ時間を比較してスリープ時間の水増しを検出する
- ユーザー操作チェック（GetCursorPos、GetAsyncKeyStateパターン）にフラグを立てる
- 手法の数と多様性に基づいて回避の洗練度をスコアリングする
- 検出された手法をMITRE ATT&CK T1497のサブテクニックにマッピングする
期待される出力
検出された回避手法とMITRE ATT&CKマッピング、API呼び出しの証拠、回避洗練度スコア、および回避カテゴリ（タイミング、VM検出、ユーザー操作、環境フィンガープリンティング）の分類を含むJSONレポート。