沙箱中的动态分析

动态分析会在受控环境中执行恶意软件，以观察其实际行为：创建了哪些文件、修改了哪些注册表项、建立了哪些网络连接，以及生成了哪些进程。它可以揭示静态分析无法发现的信息。

沙箱通过监控钩子封装 OS，以拦截系统调用。行为日志会记录每个文件、注册表、网络和进程事件。常见的沙箱包括：Any.run（交互式）、Cuckoo（自托管式）和 Joe Sandbox。

使用 VMware 或 VirtualBox，并采用仅主机网络或专用 VLAN。运行样本前，先创建干净的快照。切勿将分析 VM 连接到生产网络——恶意软件可能会尝试横向移动。

提交样本，在实时交互式 VM 中观察其行为，然后下载完整的行为报告。Any.run 会自动标记网络指标、进程树、释放的文件和 MITRE ATT&CK 技术标签。

进程树显示父子关系。看到 word.exe 生成 powershell.exe，再由 powershell.exe 生成 cmd.exe，说明这是一个基于宏的投递器。异常的子进程是入侵的重要指标。

沙箱捕获的网络流量会显示 DNS 查询（C2 域名解析）、HTTP/S 信标通信和数据外泄。请记录目标 IP、端口、用户代理字符串和 URI 模式——这些都会成为网络 IOC。

恶意软件通常会将有效载荷释放到 %TEMP%、%APPDATA% 或系统目录。它可能替换合法二进制文件（DLL 劫持），或添加持久化脚本。请仔细监控创建、修改和删除的文件。

通过运行键实现持久化（HKCU\Software\Microsoft\Windows\CurrentVersion\Run）、安装服务（HKLM\SYSTEM\CurrentControlSet\Services）以及 COM 劫持，都会在沙箱日志中显示为注册表事件。

Cuckoo 运行在 Linux 上，并将 Windows VM 作为分析客户机进行管理。REST 接口接受样本、返回 JSON 报告，并与威胁情报平台集成。可自定义的模块还能捕获内存转储和网络 PCAP 数据。

复杂的恶意软件会检查沙箱痕迹：进程数量过少、没有鼠标移动、VM 注册表项（VMware Tools）、特定的用户名模式或运行时间过短。使用真实硬件或长时间运行的沙箱，可以应对这类规避行为。

动态分析可以验证静态分析提出的判断。如果静态分析发现了可疑导入项，动态分析就能显示这些导入项是否真的被调用，以及调用时使用了哪些参数，从而构建完整的行为画像。

在动态恶意软件分析期间，沙箱主要会记录什么？

动态分析会在隔离的沙箱中安全运行恶意软件，以捕获其真实行为。进程树、网络流量、注册表变化和文件操作结合起来，可以完整呈现恶意软件的功能及其 IOC。