การวิเคราะห์แบบไดนามิกในแซนด์บ็อกซ์

การวิเคราะห์แบบพลวัตเรียกใช้มัลแวร์ในสภาพแวดล้อมควบคุมเพื่อสังเกตพฤติกรรมจริง ได้แก่ ไฟล์ที่สร้างขึ้น คีย์รีจิสทรีที่แก้ไข การเชื่อมต่อเครือข่ายที่สร้างขึ้น และโพรเซสที่เริ่มทำงาน วิธีนี้เผยให้เห็นสิ่งที่การวิเคราะห์แบบสถิตไม่สามารถตรวจพบได้

แซนด์บ็อกซ์ครอบ OS ด้วยฮุกสำหรับตรวจสอบที่ดักจับการเรียกระบบ บันทึกพฤติกรรมจะเก็บเหตุการณ์ของไฟล์ รีจิสทรี เครือข่าย และโพรเซสทุกเหตุการณ์ แซนด์บ็อกซ์ยอดนิยม ได้แก่ Any.run (โต้ตอบได้), คุกคู (โฮสต์เอง) และโจ แซนด์บ็อกซ์

ใช้วีเอ็มแวร์หรือ VirtualBox พร้อมเครือข่ายเฉพาะโฮสต์หรือ VLAN โดยเฉพาะ ถ่ายสแนปช็อตสะอาดก่อนเรียกใช้ตัวอย่าง ห้ามเชื่อมต่อ VM สำหรับการวิเคราะห์เข้ากับเครือข่ายใช้งานจริงโดยเด็ดขาด — มัลแวร์อาจพยายามเคลื่อนที่ไปยังระบบอื่นในเครือข่าย

ส่งตัวอย่าง สังเกตการทำงานใน VM แบบโต้ตอบได้ และดาวน์โหลดรายงานพฤติกรรมฉบับเต็ม Any.run จะเน้นตัวบ่งชี้เครือข่าย แผนผังโพรเซส ไฟล์ที่ถูกปล่อย และแท็กเทคนิคการโจมตีของ MITRE โดยอัตโนมัติ

แผนผังโพรเซสแสดงความสัมพันธ์ระหว่างโพรเซสแม่กับโพรเซสลูก การเห็น word.exe เรียกใช้ powershell.exe ซึ่งเรียกใช้ cmd.exe ต่อ บ่งชี้ถึงดรอปเปอร์ที่ใช้แมโคร โพรเซสลูกที่ไม่คาดคิดเป็นตัวบ่งชี้การบุกรุกที่สำคัญ

การดักจับเครือข่ายของแซนด์บ็อกซ์แสดงการสืบค้น DNS (การแปลงชื่อโดเมนของเซิร์ฟเวอร์ควบคุมและสั่งการ) การส่งสัญญาณ HTTP/S และการลักลอบนำข้อมูลออกไป โปรดบันทึก IP ปลายทาง พอร์ต สตริงตัวแทนผู้ใช้ และรูปแบบ URI — ข้อมูลทั้งหมดจะกลายเป็น IOC ของเครือข่าย

มัลแวร์มักปล่อยส่วนรับน้ำหนักไปยัง %TEMP%, %APPDATA% หรือไดเรกทอรีระบบ มัลแวร์อาจแทนที่ไบนารีที่ถูกต้อง (การแย่งโหลด DLL) หรือเพิ่มสคริปต์สำหรับคงอยู่ในระบบ โปรดตรวจสอบไฟล์ที่สร้าง แก้ไข และลบอย่างรอบคอบ

การคงอยู่ในระบบผ่านคีย์ Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run) การติดตั้งบริการ (HKLM\SYSTEM\CurrentControlSet\Services) และการแย่งชิง COM ล้วนปรากฏเป็นเหตุการณ์รีจิสทรีในบันทึกของแซนด์บ็อกซ์

คุกคูทำงานบนลินุกซ์และจัดการ VM วินโดวส์ในฐานะเครื่องแขกสำหรับการวิเคราะห์ ส่วนต่อประสาน REST รับตัวอย่าง ส่งคืนรายงาน JSON และเชื่อมต่อกับแพลตฟอร์มข่าวกรองภัยคุกคามได้ โมดูลที่ปรับแต่งได้สามารถเก็บดัมพ์หน่วยความจำและ PCAP ของเครือข่าย

มัลแวร์ที่ซับซ้อนจะตรวจหาสิ่งบ่งชี้ของแซนด์บ็อกซ์ เช่น จำนวนโพรเซสน้อย ไม่มีการเคลื่อนไหวของเมาส์ คีย์รีจิสทรีของ VM (เครื่องมือของวีเอ็มแวร์) รูปแบบชื่อผู้ใช้เฉพาะ หรือเวลาที่ระบบทำงานสั้น ใช้ฮาร์ดแวร์จริงหรือแซนด์บ็อกซ์ที่ทำงานเป็นเวลานานเพื่อเอาชนะการหลบเลี่ยงเหล่านี้

การวิเคราะห์แบบพลวัตยืนยันสิ่งที่การวิเคราะห์แบบสถิตตั้งข้อสังเกตไว้ หากการวิเคราะห์แบบสถิตพบรายการนำเข้าที่น่าสงสัย การวิเคราะห์แบบพลวัตจะแสดงว่ารายการเหล่านั้นถูกเรียกใช้จริงหรือไม่ และเรียกใช้ด้วยพารามิเตอร์ใด ซึ่งช่วยสร้างประวัติพฤติกรรมที่สมบูรณ์

แซนด์บ็อกซ์บันทึกอะไรเป็นหลักระหว่างการวิเคราะห์มัลแวร์แบบพลวัต

การวิเคราะห์แบบพลวัตเรียกใช้มัลแวร์อย่างปลอดภัยในแซนด์บ็อกซ์แยกเพื่อเก็บพฤติกรรมจริงของมัลแวร์ แผนผังโพรเซส การรับส่งข้อมูลเครือข่าย การเปลี่ยนแปลงรีจิสทรี และการดำเนินการกับไฟล์ร่วมกันสร้างภาพรวมอย่างครบถ้วนของการทำงานและ IOC ของมัลแวร์