Dynamische Analyse in einer Sandbox

Bei der dynamischen Analyse wird Schadsoftware in einer kontrollierten Umgebung ausgeführt, um ihr tatsächliches Verhalten zu beobachten: erstellte Dateien, geänderte Registrierungsschlüssel, aufgebaute Netzwerkverbindungen und gestartete Prozesse. Sie macht sichtbar, was die statische Analyse nicht erkennen kann.

Eine Sandbox umschließt das Betriebssystem mit Überwachungshooks, die Systemaufrufe abfangen. Verhaltensprotokolle erfassen jedes Datei-, Registrierungs-, Netzwerk- und Prozessereignis. Beliebte Sandboxes sind Any.run (interaktiv), Cuckoo (selbst gehostet) und Joe Sandbox.

Verwenden Sie VMware oder VirtualBox mit einem Host-only-Netzwerk oder einem dedizierten VLAN. Erstellen Sie vor der Ausführung von Samples einen Snapshot eines sauberen Systems. Verbinden Sie Ihre Analyse-VM niemals mit Produktionsnetzwerken – Schadsoftware könnte versuchen, sich lateral auszubreiten.

Übermitteln Sie das Sample, beobachten Sie es in einer interaktiven Live-VM und laden Sie den vollständigen Verhaltensbericht herunter. Any.run hebt Netzwerkindikatoren, Prozessbäume, abgelegte Dateien und MITRE-ATT&CK-Technik-Tags automatisch hervor.

Der Prozessbaum zeigt die Beziehungen zwischen übergeordneten und untergeordneten Prozessen. Wenn word.exe powershell.exe startet und dieses anschließend cmd.exe startet, deutet das auf einen Dropper auf Makrobasis hin. Unerwartete untergeordnete Prozesse sind ein wichtiger Kompromittierungsindikator.

Netzwerkaufzeichnungen aus der Sandbox zeigen DNS-Abfragen (Auflösung der C2-Domain), HTTP/S-Beacons und Datenexfiltration. Notieren Sie Ziel-IPs, Ports, User-Agent-Strings und URI-Muster – all diese Informationen werden zu Netzwerk-IOCs.

Schadsoftware legt Payloads häufig unter %TEMP%, %APPDATA% oder in Systemverzeichnissen ab. Sie kann legitime Binärdateien ersetzen (DLL-Hijacking) oder Persistenzskripte hinzufügen. Überwachen Sie erstellte, geänderte und gelöschte Dateien sorgfältig.

Persistenz über Run-Schlüssel (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), die Installation von Diensten (HKLM\SYSTEM\CurrentControlSet\Services) und COM-Hijacking erscheinen in Sandbox-Protokollen allesamt als Registrierungsereignisse.

Cuckoo läuft unter Linux und verwaltet Windows-VMs als Analyse-Gäste. Die REST-API akzeptiert Samples, gibt JSON-Berichte zurück und lässt sich in Threat-Intelligence-Plattformen integrieren. Anpassbare Module erfassen Speicherdumps und Netzwerk-PCAPs.

Hochentwickelte Schadsoftware sucht nach Sandbox-Artefakten: einer geringen Prozessanzahl, fehlenden Mausbewegungen, VM-Registrierungsschlüsseln (VMware Tools), bestimmten Benutzernamensmustern oder einer kurzen Laufzeit. Verwenden Sie echte Hardware oder Sandboxes mit langer Laufzeit, um diese Umgehungstechniken zu überwinden.

Die dynamische Analyse bestätigt die Ergebnisse der statischen Analyse. Wenn die statische Analyse verdächtige Imports gefunden hat, zeigt die dynamische Analyse, ob diese tatsächlich aufgerufen wurden und mit welchen Parametern – so entsteht ein vollständiges Verhaltensprofil.

Bei der dynamischen Analyse wird Schadsoftware sicher in einer isolierten Sandbox ausgeführt, um ihr tatsächliches Verhalten zu erfassen. Prozessbäume, Netzwerkverkehr, Registrierungsänderungen und Dateivorgänge ergeben zusammen ein vollständiges Bild der Funktionen und IOCs der Schadsoftware.