分析惡意軟體沙箱規避技術

分析惡意軟體沙箱規避技術 是做什麼的？

概述

沙箱規避（MITRE ATT&CK T1497）使惡意軟體能夠偵測分析環境並改變行為以逃避偵測。本技能會分析來自 Cuckoo Sandbox 和 AnyRun 的行為報告，尋找規避指標，包括基於計時的檢查（GetTickCount、QueryPerformanceCounter、睡眠膨脹）、VM 工件檢測（註冊表鍵值、MAC 地址前綴、vmtoolsd.exe 等進程名稱）、用戶互動檢查（滑鼠移動、鍵盤輸入）以及環境指紋識別（磁碟大小、CPU 數量、RAM）。偵測規則會標記表現出這些行為的樣本，以便進行更深層的手動分析。

使用時機

• 在調查需要分析惡意軟體沙箱規避技術的安全事件時
• 在為此領域建立偵測規則或威脅獵捕查詢時
• 當 SOC 分析師需要此分析類型的結構化程序時
• 在驗證相關攻擊技術的安全監控覆蓋範圍時

先決條件

• Cuckoo Sandbox 2.0+ 或 AnyRun 帳戶，用於取得行為分析報告
• Python 3.8+ 及 json 函式庫，用於解析報告
• JSON 格式的行為報告匯出檔案

步驟

1. 解析 Cuckoo/AnyRun 行為報告 JSON 檔案
2. 提取與計時相關的 API 呼叫序列
3. 透過註冊表查詢和 WMI 呼叫識別 VM 工件檢測
4. 比較請求的睡眠時間與實際睡眠時間，以偵測睡眠膨脹
5. 標記用戶互動檢查（GetCursorPos、GetAsyncKeyState 模式）
6. 根據技術數量和多樣性對規避複雜度進行評分
7. 將檢測到的技術映射到 MITRE ATT&CK T1497 子技術

預期輸出

一份 JSON 格式的報告，列出檢測到的規避技術，包含 MITRE ATT&CK 映射、API 呼叫證據、規避複雜度評分，以及規避類別分類（計時、VM 檢測、用戶互動、環境指紋識別）。