Análise Dinâmica em um Sandbox

A análise dinâmica executa o malware em um ambiente controlado para observar seu comportamento real: arquivos criados, chaves do Registro modificadas, conexões de rede realizadas e processos gerados. Ela revela o que a análise estática não consegue.

Um ambiente isolado envolve o OS com mecanismos de monitoramento que interceptam chamadas do sistema. Os registros comportamentais capturam cada evento relacionado a arquivos, Registro, rede e processos. Ambientes isolados populares: Any.run (interativo), Cuckoo (autogerenciado) e Joe Sandbox.

Use VMware ou VirtualBox com uma rede somente de host ou uma VLAN dedicada. Crie um instantâneo limpo antes de executar as amostras. Nunca conecte sua VM de análise às redes de produção — o malware pode tentar realizar movimentação lateral.

Envie a amostra, observe-a em uma VM interativa em tempo real e baixe o relatório comportamental completo. O Any.run destaca automaticamente indicadores de rede, árvores de processos, arquivos descartados e rótulos de técnicas do MITRE ATT&CK.

A árvore de processos mostra as relações entre processos pai e filho. Ver o word.exe gerar o powershell.exe, que por sua vez gera o cmd.exe, indica um programa de entrega baseado em macro. Processos filhos inesperados são um indicador importante de comprometimento.

As capturas de rede do ambiente isolado mostram consultas DNS (resolução do domínio C2), sinalização HTTP/S e exfiltração de dados. Anote os IPs de destino, as portas, as cadeias de agente do usuário e os padrões de URI — todos se tornam IOCs de rede.

O malware geralmente deposita cargas úteis em %TEMP%, %APPDATA% ou diretórios do sistema. Ele pode substituir binários legítimos (sequestro de DLL) ou adicionar scripts de persistência. Monitore cuidadosamente os arquivos criados, modificados e excluídos.

A persistência por meio das chaves Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), da instalação de serviços (HKLM\SYSTEM\CurrentControlSet\Services) e do sequestro de COM aparece como eventos do Registro nos registros do ambiente isolado.

O Cuckoo é executado no Linux e gerencia VMs Windows como ambientes convidados de análise. A interface REST aceita amostras, retorna relatórios JSON e integra-se a plataformas de inteligência sobre ameaças. Módulos personalizáveis capturam despejos de memória e capturas de rede PCAP.

Malwares sofisticados verificam artefatos de ambientes isolados: poucos processos, ausência de movimento do mouse, chaves do Registro da VM (VMware Tools), padrões específicos de nome de usuário ou pouco tempo de atividade. Use hardware real ou ambientes isolados de longa duração para impedir a evasão.

A análise dinâmica confirma o que a análise estática sugeriu. Se a análise estática encontrou importações suspeitas, a análise dinâmica mostra se elas foram realmente chamadas e com quais parâmetros — formando um perfil comportamental completo.

O que um ambiente isolado registra principalmente durante a análise dinâmica de malware?

A análise dinâmica executa o malware com segurança em um ambiente isolado para capturar seu comportamento real. Árvores de processos, tráfego de rede, alterações no Registro e operações de arquivos formam, em conjunto, um retrato completo da funcionalidade do malware e de seus IOCs.