分析恶意软件沙箱逃逸技术
概述
沙箱逃逸（MITRE ATT&CK T1497）使恶意软件能够检测分析环境并改变行为以逃避检测。本技能分析来自 Cuckoo Sandbox 和 AnyRun 的行为报告，查找逃逸指标，包括：基于时间的检测（GetTickCount、QueryPerformanceCounter、睡眠膨胀）、VM 工件检测（注册表键、MAC 地址前缀、进程名如 vmtoolsd.exe）、用户交互检查（鼠标移动、键盘输入）以及环境指纹识别（磁盘大小、CPU 数量、内存）。检测规则会对表现出这些行为的样本进行标记，以便进一步手动分析。
使用时机
- 调查涉及恶意软件沙箱逃逸技术分析的安全事件时
- 构建针对该领域的检测规则或威胁狩猎查询时
- SOC 分析师需要此类分析的结构化流程时
- 验证相关攻击技术的安全监控覆盖范围时
前提条件
- Cuckoo Sandbox 2.0+ 或用于行为分析报告的 AnyRun 账户
- Python 3.8+ 及用于报告解析的 json 库
- 以 JSON 格式导出的行为报告
步骤
- 解析 Cuckoo/AnyRun 行为报告 JSON 文件
- 提取与时间相关函数的 API 调用序列
- 通过注册表查询和 WMI 调用识别 VM 工件检测
- 通过比较请求的睡眠时长与实际睡眠时长检测睡眠膨胀
- 标记用户交互检查（GetCursorPos、GetAsyncKeyState 模式）
- 根据技术数量和多样性对逃逸复杂程度进行评分
- 将检测到的技术映射到 MITRE ATT&CK T1497 子技术
预期输出
包含以下内容的 JSON 报告：检测到的逃逸技术及其 MITRE ATT&CK 映射、API 调用证据、逃逸复杂程度评分，以及逃逸分类（时间、VM 检测、用户交互、环境指纹）。