沙箱的无能为力

网络安全工作就好像在罪恶之城当警察，每天对战顶着WannaCry、Petya和 “红色十月” 等花名的不知名恶棍，而且恶棍们的战术、技术和装备还在不断更新。一轮扫黑除恶下来，以为天下太平了，没几天这些老对手又强势归来……

比如说，2014年发现的Emotet银行木马，最近就改头换面重现江湖了。该新版本是带.doc后缀的XML文档，利用大多数沙箱要求真实文件类型的特性规避检测。即便真实文件类型是XML，终端上还是在Word中打开。

一旦在Word中打开，XML文件中的宏就会触发一段PowerShell脚本，第二阶段的URL，下载Emotet载荷。Emotet会枚举系统上安装的应用程序并检查磁盘空间以确定自身是否处于沙箱环境。如果判断自身身处沙箱环境，载荷就会停止执行。而且，Emotet还有长期睡眠和延迟机制以阻碍动态分析技术，让沙箱无法检测恶意行为。很聪明的做法!

最近的其他威胁也采用了类似的技术规避沙箱检测。Bebloh是2009年检测到的通用银行木马，最近以针对日本用户的变种重新冒头。该版本通过带宏的Excel邮件附件传播，用户点击后会触发后台命令shell。有趣的是，该变种每次执行时都会检测系统的地区和国家设置。

只要地区设置不是日本，宏就会阻止Bebloh执行并退出Excel应用。而一旦命令shell被激活，Bebloh即开始执行一个PowerShell脚本从URL获取远程内容，该远程内容是长得像RAR文件的又一个PowerShell脚本文件，内嵌base64编码的加密DLL。解密该DLL的密钥依据操作系统文化设置的国家代码产生。解密出来的DLL被另一个进程用PowerShell注入内存，其入口点被调用来启动该恶意软件。

最终结果就是，整个沙箱环境的地区设置必须设成JP(日本的国家代码)，才可以检测到该感染链。Bebloh还会检查系统运行时间和物理系统特征，只要判断是在沙箱环境就会停止执行。

网络钓鱼也是沙箱无能为力的一个领域，因为检测有赖于文件展现出恶意

（编辑：唐山站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!