Análise de Técnicas de Evasão de Sandbox em Malware

O que Análise de Técnicas de Evasão de Sandbox em Malware faz?

Visão Geral

A evasão de sandbox (MITRE ATT&CK T1497) permite que malwares detectem ambientes de análise e alterem seu comportamento para evitar a detecção. Esta skill analisa relatórios comportamentais do Cuckoo Sandbox e AnyRun em busca de indicadores de evasão, incluindo verificações baseadas em tempo (GetTickCount, QueryPerformanceCounter, inflação de sleep), detecção de artefatos de VM (chaves de registro, prefixos de endereço MAC, processos como vmtoolsd.exe), verificações de interação do usuário (movimento do mouse, entrada de teclado) e fingerprinting de ambiente (tamanho do disco, contagem de CPU, RAM). Regras de detecção sinalizam amostras que exibem esses comportamentos para análise manual mais aprofundada.

Quando Usar

• Ao investigar incidentes de segurança que exigem análise de técnicas de evasão de sandbox em malware
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Cuckoo Sandbox 2.0+ ou conta AnyRun para relatórios de análise comportamental
• Python 3.8+ com a biblioteca json para análise de relatórios
• Exportações de relatórios comportamentais em formato JSON

Passos

1. Analisar os arquivos JSON de relatórios comportamentais do Cuckoo/AnyRun
2. Extrair as sequências de chamadas de API para funções relacionadas a tempo
3. Identificar detecção de artefatos de VM por meio de consultas ao registro e chamadas WMI
4. Detectar inflação de sleep comparando as durações de sleep solicitadas com as reais
5. Sinalizar verificações de interação do usuário (padrões de GetCursorPos, GetAsyncKeyState)
6. Pontuar a sofisticação da evasão com base no número e na diversidade de técnicas
7. Mapear as técnicas detectadas para as sub-técnicas do MITRE ATT&CK T1497

Saída Esperada

Relatório JSON listando as técnicas de evasão detectadas com mapeamento MITRE ATT&CK, evidências de chamadas de API, pontuação de sofisticação da evasão e classificação das categorias de evasão (tempo, detecção de VM, interação do usuário, fingerprinting de ambiente).