Analisis Dinamik dalam Kotak Pasir

Gunakan VMware atau VirtualBox dengan rangkaian hos sahaja atau VLAN khusus. Ambil syot kilat bersih sebelum menjalankan sampel. Jangan sekali-kali sambungkan VM analisis anda kepada rangkaian pengeluaran — perisian hasad mungkin cuba melakukan pergerakan lateral.

Serahkan sampel, perhatikannya dalam VM interaktif secara langsung dan muat turun laporan tingkah laku penuh. Any.run menyerlahkan penunjuk rangkaian, pepohon proses, fail yang digugurkan dan teg teknik MITRE ATT&CK secara automatik.

Pepohon proses menunjukkan hubungan induk-anak. Melihat word.exe melancarkan powershell.exe yang kemudian melancarkan cmd.exe menunjukkan penitis berasaskan makro. Proses anak yang tidak dijangka ialah penunjuk pencerobohan yang penting.

Tangkapan rangkaian kotak pasir menunjukkan pertanyaan DNS (penyelesaian domain C2), penghantaran suar HTTP/S dan penyeludupan data. Catat IP destinasi, port, rentetan ejen pengguna dan corak URI — semuanya menjadi IOCs rangkaian.

Perisian hasad sering menggugurkan muatan ke %TEMP%, %APPDATA% atau direktori sistem. Perisian ini mungkin menggantikan binari yang sah (rampasan DLL) atau menambah skrip kegigihan. Pantau fail yang dicipta, diubah suai dan dipadam dengan teliti.

Kegigihan melalui kunci Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), pemasangan perkhidmatan (HKLM\SYSTEM\CurrentControlSet\Services) dan rampasan COM semuanya muncul sebagai peristiwa daftar dalam log kotak pasir.

Cuckoo berjalan pada Linux dan mengurus VM Windows sebagai tetamu analisis. API REST menerima sampel, mengembalikan laporan JSON dan berintegrasi dengan platform risikan ancaman. Modul yang boleh disesuaikan menangkap longgokan memori dan tangkapan PCAP rangkaian.

Perisian hasad canggih memeriksa artifak kotak pasir: bilangan proses yang rendah, tiada pergerakan tetikus, kunci daftar VM (VMware Tools), corak nama pengguna tertentu atau masa operasi yang singkat. Gunakan perkakasan sebenar atau kotak pasir yang berjalan lama untuk menewaskan teknik pengelakan ini.

Analisis dinamik mengesahkan perkara yang dicadangkan oleh analisis statik. Jika analisis statik menemui import yang mencurigakan, analisis dinamik menunjukkan sama ada import tersebut benar-benar dipanggil dan dengan parameter apa — lalu membina profil tingkah laku yang lengkap.

Analisis dinamik menjalankan perisian hasad dengan selamat dalam kotak pasir terasing untuk menangkap tingkah laku sebenarnya. Pepohon proses, trafik rangkaian, perubahan daftar dan operasi fail bersama-sama memberikan gambaran menyeluruh tentang fungsi perisian hasad serta IOCs.