Детектирование песочницы / эмулятора.

Анти-аналитические техники в ВПО, которые распознают, что хост — это аналитическая песочница, эмулятор или виртуальная машина, и отказываются исполнять полезную нагрузку, чтобы скрыться от обнаружения. Относится к категории Защита и операции в кибербезопасности.

Анти-аналитические техники в ВПО, которые распознают, что хост — это аналитическая песочница, эмулятор или виртуальная машина, и отказываются исполнять полезную нагрузку, чтобы скрыться от обнаружения.

Детектирование песочницы/эмулятора — это класс защитного уклонения (defense evasion) у ВПО: программа распознаёт автоматизированные аналитические среды (Cuckoo, Joe Sandbox, ANY.RUN, Hatching Triage, FireEye AX, коммерческие VMware-песочницы) и в случае обнаружения остаётся пассивной или ведёт себя «безобидно». Типичные проверки — диапазоны MAC VirtualBox/VMware, драйверы virtio, строка CPUID Hyper-V 'Microsoft Hv', маленький диск или RAM, мало ядер CPU, единственная учётная запись, мало recent files, ускоренная мышь без движения, наличие Wireshark, x64dbg, OllyDbg, временные задержки. Техника MITRE ATT&CK T1497 (Virtualization/Sandbox Evasion) каталогизирует это. Защитники отвечают усиленными песочницами, имитирующими реальную активность, случайными hostname, увеличенными окнами детонации и bare-metal-стендами.

Защита от Детектирование песочницы / эмулятора обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Анти-VM, Анти-песочница, VM-aware вредонос.