Come i malware avanzati aggirano le analisi delle sandbox moderne
Le sandbox sono strumenti cruciali per l’analisi del malware, ma con l’evoluzione delle minacce informatiche, i criminali hanno sviluppato sofisticate tecniche di sandbox evasion. Queste strategie consentono ai malware di rilevare l’ambiente isolato o di ingannarlo, sfuggendo così al rilevamento. In questo articolo, esploreremo il funzionamento delle sandbox, le tecniche di sandbox evasion più diffuse e come affrontare queste sfide.
Le Sandbox e il Loro Ruolo Nella Cybersecurity
Cos’è una Sandbox e Come Funziona?
Una sandbox è un ambiente virtuale progettato per simulare un sistema reale in cui analizzare il comportamento di file sospetti. Questo ambiente consente di rilevare attività pericolose senza mettere a rischio il sistema operativo o la rete reale.
Le sandbox sono essenziali per individuare:
- Attività malevole come accessi non autorizzati a file di sistema, modifiche al registro di sistema o tentativi di connessione a server remoti.
- Minacce zero-day, grazie all’analisi comportamentale e non solo alle firme dei malware.
Limitazioni Intrinseche delle Sandbox
Nonostante la loro utilità, le sandbox presentano alcune limitazioni:
- Durata limitata delle analisi: molte sandbox eseguono il file solo per pochi minuti, rendendole vulnerabili a tecniche basate su ritardi.
- Simulazione non perfetta: spesso mancano dettagli come input dell’utente o configurazioni hardware complesse, che un malware potrebbe utilizzare per rilevare l’ambiente virtuale.
Le Principali Tecniche di Sandbox Evasion
1. Rilevamento dell’Ambiente Virtuale
Molti malware utilizzano tecniche di fingerprinting per identificare l’ambiente in cui vengono eseguiti. Questo include il controllo di:
- Processi attivi: malware come QakBot cercano processi noti come
vmsrvc.exeoVBoxService.exe, associati rispettivamente a VMware e VirtualBox. - Hardware simulato: rilevano configurazioni hardware inusuali, come assenza di GPU, poca RAM o dischi rigidi virtuali.
- File di configurazione sandbox-specifici: cercano file o directory tipiche delle sandbox, come cartelle temporanee usate dagli analizzatori.
Esempio Pratico: QakBot
QakBot verifica la presenza di processi specifici, come quelli di VMware o VirtualBox. Se li rileva, termina la propria esecuzione, evitando di essere analizzato.
2. Ritardi Intenzionali
Molti malware ritardano intenzionalmente l’esecuzione del loro payload dannoso, sfruttando il fatto che le sandbox analizzano i file solo per brevi periodi. Questi ritardi possono essere implementati in vari modi:
- Chiamate Sleep API: il malware utilizza funzioni come
Sleep()per attendere un tempo predeterminato prima di eseguire qualsiasi attività. - Loops infiniti: eseguono operazioni inutili per consumare tempo senza rivelare comportamenti sospetti.
- Condizioni temporali: alcuni malware si attivano solo in momenti specifici, come determinate ore o date.
Esempio Pratico: Emotet
Emotet utilizza chiamate API come Sleep() per ritardare fino a un’ora l’esecuzione del codice dannoso, eludendo così le analisi brevi delle sandbox.
3. Controllo delle Interazioni dell’Utente
I malware possono verificare se ci sono interazioni reali con il sistema, come movimenti del mouse o digitazione sulla tastiera. Questa tecnica si basa sull’ipotesi che le sandbox non simulino input dell’utente.
Tecniche Comuni:
- Utilizzo di API come
GetCursorPosoGetAsyncKeyStateper rilevare movimenti o input. - Controllo della velocità di scrittura e dei movimenti del cursore.
Esempio Pratico: TrickBot
TrickBot utilizza queste tecniche per assicurarsi che sia presente un utente reale prima di attivare il payload.
4. Offuscamento e Modularità del Codice
I malware spesso nascondono il codice dannoso utilizzando crittografia o separando i componenti in moduli che vengono scaricati successivamente. Questo rende difficile per le sandbox analizzare l’intera minaccia.
Esempio Pratico: Dridex
Dridex utilizza loader criptati che decriptano il payload principale solo quando rilevano di essere in un ambiente sicuro (non virtualizzato).
5. Dipendenza da Risorse Esterne
Alcuni malware non eseguono azioni dannose finché non riescono a connettersi a server di comando e controllo (C2) per scaricare moduli o istruzioni. Se la sandbox blocca l’accesso a Internet, il malware rimane inattivo.
Esempio Pratico: Cobalt Strike
Cobalt Strike utilizza connessioni a server C2 per scaricare moduli aggiuntivi, rendendo inutile l’analisi in sandbox senza accesso alla rete.
Come Difendersi dalle Tecniche di Sandbox Evasion
Implementare Sandbox Dinamiche
Le moderne sandbox avanzate possono simulare movimenti del mouse, digitazioni e interazioni utente per ingannare i malware. Inoltre, possono estendere i tempi di analisi o monitorare il comportamento anche dopo l’uscita dal sandbox.
Monitorare il Traffico di Rete
Strumenti come IDS/IPS e analizzatori di rete possono rilevare connessioni sospette verso server C2, anche se il malware elude la sandbox.
Aggiornare le Strategie di Difesa
L’integrazione di sandbox con soluzioni EDR e SIEM consente di ottenere una visione più ampia delle minacce, riducendo i rischi di evasione.
Conclusione: L’Impatto della Sandbox Evasion sulla Sicurezza Informatica
Le tecniche di sandbox evasion rappresentano una sfida significativa per la sicurezza informatica moderna. Per mitigare queste minacce, è essenziale combinare strumenti avanzati, monitoraggio continuo e un approccio proattivo alla difesa. La lotta contro i malware in continua evoluzione richiede una costante innovazione tecnologica per proteggere sistemi e dati sensibili.