Detection de sandbox / emulateur
Qu'est-ce que Detection de sandbox / emulateur ?
Detection de sandbox / emulateurTechniques anti-analyse des malwares qui reconnaissent quand ils s'executent dans un sandbox, un emulateur ou une VM et refusent alors de detoner pour echapper a l'analyse.
La detection de sandbox/emulateur est une classe de techniques de defense-evasion utilisee par les malwares pour identifier des environnements d'analyse automatises — Cuckoo, Joe Sandbox, ANY.RUN, Hatching Triage, FireEye AX, sandboxes commerciales basees sur VMware — et rester dormants ou afficher un comportement anodin lorsqu'ils sont detectes. Les controles courants : plages MAC VirtualBox/VMware, drivers virtio, chaines CPUID Hyper-V ('Microsoft Hv'), disque ou RAM trop petits, peu de coeurs CPU, compte unique, peu de fichiers recents, souris sans mouvement, presence d'outils analystes (Wireshark, x64dbg, OllyDbg) et temporisation. La technique MITRE ATT&CK T1497 (Virtualization/Sandbox Evasion) catalogue ces comportements. Les defenseurs ripostent avec des sandboxes durcis simulant une activite reelle, des hostnames randomises, des fenetres de detonation plus longues et des detonations bare-metal.
● Exemples
- 01
Un loader qui quitte proprement s'il trouve vmware.exe dans la liste des processus ou repere le CPUID Hyper-V 'Microsoft Hv'.
- 02
Ransomware qui attend 20 minutes avant toute action, pour depasser la fenetre courte des sandboxes.
● Questions fréquentes
Qu'est-ce que Detection de sandbox / emulateur ?
Techniques anti-analyse des malwares qui reconnaissent quand ils s'executent dans un sandbox, un emulateur ou une VM et refusent alors de detoner pour echapper a l'analyse. Cette notion relève de la catégorie Défense et opérations en cybersécurité.
Que signifie Detection de sandbox / emulateur ?
Techniques anti-analyse des malwares qui reconnaissent quand ils s'executent dans un sandbox, un emulateur ou une VM et refusent alors de detoner pour echapper a l'analyse.
Comment fonctionne Detection de sandbox / emulateur ?
La detection de sandbox/emulateur est une classe de techniques de defense-evasion utilisee par les malwares pour identifier des environnements d'analyse automatises — Cuckoo, Joe Sandbox, ANY.RUN, Hatching Triage, FireEye AX, sandboxes commerciales basees sur VMware — et rester dormants ou afficher un comportement anodin lorsqu'ils sont detectes. Les controles courants : plages MAC VirtualBox/VMware, drivers virtio, chaines CPUID Hyper-V ('Microsoft Hv'), disque ou RAM trop petits, peu de coeurs CPU, compte unique, peu de fichiers recents, souris sans mouvement, presence d'outils analystes (Wireshark, x64dbg, OllyDbg) et temporisation. La technique MITRE ATT&CK T1497 (Virtualization/Sandbox Evasion) catalogue ces comportements. Les defenseurs ripostent avec des sandboxes durcis simulant une activite reelle, des hostnames randomises, des fenetres de detonation plus longues et des detonations bare-metal.
Comment se défendre contre Detection de sandbox / emulateur ?
Les défenses contre Detection de sandbox / emulateur combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Detection de sandbox / emulateur ?
Noms alternatifs courants : Anti-VM, Anti-sandbox, Malware VM-aware.
● Termes liés
- defense-ops№ 298
Évasion défensive
Tactique MITRE ATT&CK (TA0005) couvrant les techniques utilisées pour échapper à la détection, neutraliser les outils de sécurité et masquer l'activité de l'attaquant.
- forensics-ir№ 650
Analyse de maliciel
Étude structurée d'un échantillon malveillant pour comprendre son fonctionnement, son origine, ses indicateurs de compromission et son impact sur les systèmes touchés.
- defense-ops№ 964
Sandbox escape
Vulnerabilite ou chaine d'exploits permettant a un code de s'echapper d'un sandbox isolant — navigateur, VM ou hyperviseur — pour executer du code dans l'hote environnant.
- forensics-ir№ 926
Rétro-ingénierie
Processus de désassemblage et d'analyse d'un logiciel compilé, d'un firmware ou d'un matériel pour reconstituer sa conception, son comportement et son fonctionnement interne.
- malware№ 417
Malware sans fichier
Logiciel malveillant qui s'exécute principalement en mémoire et exploite des outils système légitimes, en évitant les exécutables traditionnels sur disque.
- malware№ 840
Malware polymorphe
Logiciel malveillant qui modifie son apparence sur disque — généralement par re-chiffrement ou empaquetage — à chaque infection, tout en gardant sa logique intacte.