analyzing-malware-sandbox-evasion-techniques

マルウェアのサンドボックス回避手法の分析

概要

サンドボックス回避（MITRE ATT&CK T1497）により、マルウェアは解析環境を検出し、検知を回避するために動作を変更できます。このスキルでは、Cuckoo Sandbox と AnyRun の動作レポートを分析し、時間ベースのチェック（GetTickCount、QueryPerformanceCounter、sleep の水増し）、VM の痕跡の検出（レジストリキー、MAC アドレスのプレフィックス、vmtoolsd.exe のようなプロセス名）、ユーザー操作のチェック（マウスの動き、キーボード入力）、環境のフィンガープリンティング（ディスクサイズ、CPU 数、RAM）などの回避指標を調べます。これらの動作が見られるサンプルには検知ルールでフラグを付け、さらに詳細な手動分析を行います。

使用する場面

• マルウェアのサンドボックス回避手法の分析が必要なセキュリティインシデントを調査する場合
• この分野の検知ルールや脅威ハンティング用のクエリを作成する場合
• SOC アナリストがこの種の分析に向けた体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• 動作レポートを取得するための Cuckoo Sandbox 2.0 以降、または AnyRun アカウント
• レポートの解析に使用する json ライブラリを備えた Python 3.8 以降
• JSON 形式の動作レポートのエクスポート

手順

1. Cuckoo/AnyRun の動作レポート JSON ファイルを解析します
2. 時間に関連する関数の API 呼び出しシーケンスを抽出します
3. レジストリクエリと WMI 呼び出しによる VM の痕跡の検出を特定します
4. 要求された sleep 時間と実際の sleep 時間を比較して、sleep の水増しを検出します
5. ユーザー操作のチェック（GetCursorPos、GetAsyncKeyState のパターン）にフラグを付けます
6. 手法の数と多様性に基づいて、回避の巧妙さをスコア化します
7. 検出された手法を MITRE ATT&CK T1497 のサブ手法に対応付けます

期待される出力

検出された回避手法と MITRE ATT&CK との対応付け、API 呼び出しの証拠、回避の巧妙さのスコア、回避カテゴリ（タイミング、VM 検出、ユーザー操作、環境のフィンガープリンティング）の分類を記載した JSON レポート。