关于 analyzing-malware-sandbox-evasion-techniques
用于分析 Cuckoo Sandbox 和 AnyRun 报告中的恶意软件沙箱规避行为，面向安全分析人员。它提取行为指标、映射至 MITRE ATT&CK T1497，并评估规避复杂度以供深入审查。
主要功能
- 01解析 Cuckoo 与 AnyRun JSON 报告
- 02提取计时相关 API 调用
- 03识别虚拟机与环境检测
- 04检测睡眠时间膨胀和用户交互检查
- 05映射 MITRE ATT&CK T1497 技术
适用场景
- 01调查恶意软件沙箱规避行为
- 02筛查需深入分析的样本
- 03整理规避证据与技术分类
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/analyzing-malware-sandbox-evasion-techniques确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
分析恶意软件沙箱规避技术
概述
沙箱规避（MITRE ATT&CK T1497）使恶意软件能够检测分析环境并改变行为，以逃避检测。本技能会分析 Cuckoo Sandbox 和 AnyRun 的行为报告，查找规避迹象，包括基于时间的检查（GetTickCount、QueryPerformanceCounter、睡眠时间膨胀）、虚拟机痕迹检测（注册表项、MAC 地址前缀、vmtoolsd.exe 等进程名称）、用户交互检查（鼠标移动、键盘输入）和环境指纹识别（磁盘大小、CPU 数量、内存）。检测规则会标记表现出这些行为的样本，以便进行更深入的人工分析。
适用场景
- 调查需要分析恶意软件沙箱规避技术的安全事件时
- 为此领域构建检测规则或威胁狩猎查询时
- SOC 分析师需要针对这类分析的结构化流程时
- 验证针对相关攻击技术的安全监控覆盖情况时
前提条件
- 用于获取行为分析报告的 Cuckoo Sandbox 2.0+ 或 AnyRun 账户
- 用于解析报告的 Python 3.8+ 和 json 库
- JSON 格式的行为报告导出文件
步骤
- 解析 Cuckoo/AnyRun 行为报告 JSON 文件
- 提取与时间相关函数的 API 调用序列
- 通过注册表查询和 WMI 调用识别虚拟机痕迹检测
- 对比请求的睡眠时长与实际睡眠时长，检测睡眠时间膨胀
- 标记用户交互检查（GetCursorPos、GetAsyncKeyState 模式）
- 根据技术的数量和多样性评估规避复杂度
- 将检测到的技术映射到 MITRE ATT&CK T1497 子技术
预期输出
JSON 报告，列出检测到的规避技术及其 MITRE ATT&CK 映射、API 调用证据、规避复杂度评分，以及规避类别（时间、虚拟机检测、用户交互、环境指纹识别）。
评论
支持 Markdown