Analisando Técnicas de Evasão de Sandbox de Malware

Visão Geral

A evasão de sandbox (MITRE ATT&CK T1497) permite que o malware detecte ambientes de análise e altere seu comportamento para evitar a detecção. Esta habilidade analisa relatórios comportamentais do Cuckoo Sandbox e AnyRun em busca de indicadores de evasão, incluindo verificações baseadas em tempo (GetTickCount, QueryPerformanceCounter, inflação de sleep), detecção de artefatos de VM (chaves de registro, prefixos de endereço MAC, nomes de processos como vmtoolsd.exe), verificações de interação do usuário (movimento do mouse, entrada do teclado) e impressão digital do ambiente (tamanho do disco, contagem de CPU, RAM). Regras de detecção marcam amostras que exibem esses comportamentos para análise manual mais aprofundada.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de técnicas de evasão de sandbox de malware
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Conta Cuckoo Sandbox 2.0+ ou AnyRun para relatórios de análise comportamental
• Python 3.8+ com a biblioteca json para análise de relatórios
• Exportações de relatórios comportamentais em formato JSON

Passos

1. Analisar arquivos JSON de relatórios comportamentais do Cuckoo/AnyRun
2. Extrair sequências de chamadas de API para funções relacionadas a tempo
3. Identificar a detecção de artefatos de VM por meio de consultas de registro e chamadas WMI
4. Detectar inflação de sleep comparando durações de sleep solicitadas vs. reais
5. Marcar verificações de interação do usuário (padrões GetCursorPos, GetAsyncKeyState)
6. Pontuar a sofisticação da evasão com base na contagem e diversidade de técnicas
7. Mapear técnicas detectadas para sub-técnicas do MITRE ATT&CK T1497

Saída Esperada

Relatório JSON listando técnicas de evasão detectadas com mapeamento MITRE ATT&CK, evidências de chamadas de API, pontuação de sofisticação de evasão e classificação das categorias de evasão (tempo, detecção de VM, interação do usuário, impressão digital do ambiente).