Analiza dynamiczna w sandboxie

Analiza dynamiczna uruchamia malware w kontrolowanym środowisku, aby obserwować jego rzeczywiste działanie: tworzone pliki, modyfikowane klucze rejestru, nawiązywane połączenia sieciowe oraz uruchamiane procesy. Ujawnia ona informacje, których nie można uzyskać podczas analizy statycznej.

Sandbox otacza system operacyjny mechanizmami monitorującymi, które przechwytują wywołania systemowe. Dzienniki zachowania rejestrują każde zdarzenie dotyczące plików, rejestru, sieci i procesów. Popularne sandboxy to: Any.run (interaktywny), Cuckoo (hostowany samodzielnie) oraz Joe Sandbox.

Należy użyć VMware lub VirtualBox z siecią tylko dla hosta albo dedykowanym VLAN-em. Przed uruchomieniem próbek należy utworzyć czystą migawkę. Nigdy nie należy łączyć maszyny wirtualnej używanej do analizy z sieciami produkcyjnymi — malware może próbować poruszać się lateralnie.

Należy przesłać próbkę, obserwować ją w interaktywnej maszynie wirtualnej działającej na żywo, a następnie pobrać pełny raport zachowania. Any.run automatycznie wyróżnia wskaźniki sieciowe, drzewa procesów, upuszczone pliki oraz tagi technik MITRE ATT&CK.

Drzewo procesów pokazuje relacje nadrzędny–podrzędny. Jeśli word.exe uruchamia powershell.exe, a ten uruchamia cmd.exe, wskazuje to na droppera wykorzystującego makra. Nieoczekiwane procesy podrzędne są kluczowym wskaźnikiem naruszenia bezpieczeństwa.

Przechwycony przez sandbox ruch sieciowy pokazuje zapytania DNS (rozwiązywanie domeny C2), okresowe połączenia HTTP/S typu beacon oraz eksfiltrację danych. Należy zwrócić uwagę na docelowe adresy IP, porty, ciągi User-Agent i wzorce URI — wszystkie te elementy stają się sieciowymi IOC.

Malware często upuszcza payloady w katalogach %TEMP%, %APPDATA% lub katalogach systemowych. Może zastępować legalne pliki binarne (DLL hijacking) albo dodawać skrypty zapewniające trwałość. Należy uważnie monitorować tworzone, modyfikowane i usuwane pliki.

Mechanizmy trwałości wykorzystujące klucze Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), instalowanie usług (HKLM\SYSTEM\CurrentControlSet\Services) oraz przejmowanie COM są rejestrowane w dziennikach sandboxa jako zdarzenia rejestru.

Cuckoo działa w systemie Linux i zarządza maszynami wirtualnymi z systemem Windows pełniącymi rolę gości analitycznych. REST API przyjmuje próbki, zwraca raporty JSON i integruje się z platformami threat intelligence. Konfigurowalne moduły przechwytują zrzuty pamięci oraz pliki PCAP ruchu sieciowego.

Zaawansowane malware sprawdza artefakty sandboxa: małą liczbę procesów, brak ruchu myszy, klucze rejestru maszyny wirtualnej (VMware Tools), określone wzorce nazw użytkowników lub krótki czas działania systemu. Aby utrudnić takie unikanie wykrycia, należy używać rzeczywistego sprzętu albo sandboxów działających przez długi czas.

Analiza dynamiczna potwierdza ustalenia analizy statycznej. Jeśli analiza statyczna wykazała podejrzane importy, analiza dynamiczna pokazuje, czy rzeczywiście zostały wywołane i z jakimi parametrami, tworząc kompletny profil zachowania.

Analiza dynamiczna bezpiecznie uruchamia malware w izolowanym sandboxie, aby przechwycić jego rzeczywiste zachowanie. Drzewa procesów, ruch sieciowy, zmiany w rejestrze i operacje na plikach wspólnie tworzą pełny obraz funkcjonalności malware oraz IOC.