Sandbox-/Emulator-Erkennung.

Anti-Analyse-Techniken in Malware, die erkennen, wenn der Host eine Analyse-Sandbox, ein Emulator oder eine VM ist, und sich dann nicht ausfuhrt, um der Erkennung zu entgehen. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.

Anti-Analyse-Techniken in Malware, die erkennen, wenn der Host eine Analyse-Sandbox, ein Emulator oder eine VM ist, und sich dann nicht ausfuhrt, um der Erkennung zu entgehen.

Sandbox-/Emulator-Erkennung ist eine Klasse von Defense-Evasion-Verhalten: Malware identifiziert automatisierte Analyseumgebungen — Cuckoo, Joe Sandbox, ANY.RUN, Hatching Triage, FireEye AX, kommerzielle VMware-Sandboxes — und bleibt dann passiv oder zeigt unverdaechtiges Verhalten. Ueblich sind Prufungen auf VirtualBox-/VMware-MAC-Bereiche, virtio-Treiber, Hyper-V-CPUID 'Microsoft Hv', sehr kleine Disk-/RAM-Groesse, wenige CPU-Kerne, nur ein Benutzerkonto, kaum 'recent files', beschleunigte Maus ohne Bewegung, Praesenz von Wireshark, x64dbg, OllyDbg sowie zeitliches Stallen. MITRE-ATT&CK T1497 (Virtualization/Sandbox Evasion) erfasst die Kategorie. Verteidiger kontern mit gehaerteten Sandboxes, die realistische Useraktivitaet vortauschen, mit randomisierten Hostnamen, laengeren Detonationsfenstern und Bare-Metal-Detonation.

Schutzmaßnahmen gegen Sandbox-/Emulator-Erkennung kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Anti-VM, Anti-Sandbox, VM-aware Malware.