如何构建自定义恶意软件分析沙盒
在搜寻恶意软件之前，每个研究人员都需要找到一个分析系统。有几种方法可以做到这一点：构建自己的环境或使用第三方解决方案。今天，我们将介绍创建自定义恶意软件沙盒的所有步骤，您可以在不感染计算机的情况下执行适当的分析。然后将其与现成的服务进行比较。
为什么你需要一个恶意软件沙盒？
沙箱可以检测网络安全威胁并安全分析它们。所有信息都保持安全，可疑文件无法访问系统。你可以监控恶意软件进程，识别它们的模式并调查行为。
在设置沙箱之前，你应该有一个明确的目标，你想通过实验室实现什么。
有两种方法可以组织您的工作空间进行分析：
- 定制沙盒。由分析员自己从零开始制作，专门针对他们的需求。
- 一个交钥匙解决方案。这是一项多功能的服务，有多种配置可满足您的需求。
如何构建自己的恶意软件沙盒？
如何制作自己的恶意软件沙盒
让我们介绍一下为恶意软件研究建立简单环境所需的所有步骤：
1 — 安装虚拟机
运行恶意软件应在适当隔离的环境中进行，以避免感染主机操作系统。最好是有一台独立的计算机，但你可以用不同版本的OSs设置一台虚拟机，或者更确切地说是其中一些虚拟机。市场上有很多虚拟机：VMWare、VirtualBox、KVM、Oracle虚拟机VirtualBox、Microsoft Hyper-V、Parallels或Xen。
2 — 检查工件
现代恶意软件是智能的–；它知道它是否在虚拟机上运行。这就是为什么清除人工制品至关重要的原因。检查代码、删除检测等。
3 — 使用不同的网络
另一个预防措施是使用不同的网络系统。防止网络上的其他计算机受到感染很重要。获取VPN服务并正确设置。你不能让流量泄漏从一个真实的IP地址发生。
4 — 分配实际数量的资源
我们的目标是使系统看起来尽可能真实，以诱骗任何恶意程序执行。确保分配的资源量符合实际情况：超过4GB的RAM、至少4个内核，以及100GB及以上的磁盘空间。这是伪装成合法系统的基本要求。不过，请记住，恶意软件会检查设备的配置。如果某个地方有虚拟机的名称，恶意对象就会识别它并停止工作。
5 — 安装常用软件
如果安装Windows并保持原样，恶意对象将无法对其进行分析。
安装一些应用程序，比如Word、浏览器和其他所有用户通常都有的程序。
6 — 打开几个文件
这里我们需要证明这是一台真正属于某人的计算机。打开一些文档来积累日志和一些临时文件。有几种类型的病毒可以检查这一点。您可以使用Regshot或Process monitor来记录注册表和文件系统的更改。请注意，这些程序在运行时可能会被恶意软件检测到。
7 — 模拟网络连接
有些恶意软件会检查它是否可以连接到谷歌等网站。如何诱使恶意程序认为它是在线的？INetSim和FakeNet工具等实用程序模拟真实的互联网连接，允许我们拦截恶意软件发出的请求。尝试检查恶意对象与其主机服务器之间的网络协议。但在这之前，先用WireShark找出所分析的样本与什么有关。要想不让这个工具落入恶意软件，需要付出一些努力，小心点。
8 — 安装分析工具
准备好用于分析的工具，并确保你知道如何使用它们。您可以使用Flare虚拟机工具，也可以使用以下程序：
- 调试器：x64dbg通过执行恶意代码来调查恶意代码。
- 反编译器：Ghidra使逆向工程变得更容易，可以访问反编译器的输出。它还可以用作调试器。
- 流量分析器：Wireshark检查恶意软件请求的网络通信。
- 文件分析器：Process Monitor，ProcDOT旨在监视和理解流程如何处理文件。
- 进程监视器：进程浏览器、进程黑客帮助监视恶意软件行为。
9 — 将系统更新至最新版本
你的系统和所有软件都应该是最新的。过滤掉经常发生的常规窗口更改。但是，您的实验可能需要不同的版本，例如恶意软件如何利用某些操作系统错误。在这种情况下，选择并设置必要的版本。
10 — 关闭Windows Defender和Windows防火墙。
禁用Windows defender之类的功能。如果你使用的是恶意软件，它可能会使防病毒软件失效。
11 — 准备好文件进行分析
创建共享文件夹，选择所需的目录。
设置快照，以便在出现错误时回滚到VM的后期状态。
如果你完成了所有这些步骤，你就可以开始分析了。
有没有更有效的方法来分析恶意软件？
所有这些步骤都需要大量的时间和准备。尽管如此，你的沙箱还是有可能不够安全，对恶意软件不可见，无法提供必要的信息。那么，什么是更好的解决方案呢？第二个选项来了–；使用现成的解决方案。让我们来看一看。跑
任何RUN是一个在线恶意软件沙盒，可用于检测、监视和分析威胁。最好的部分是时间和便利：
- 只需几分钟即可完成对恶意样本的分析。
- 大多数工具都为您准备好了，只需选择您需要的工具并开始任务。
- 您的文件、系统和网络是完全安全的。
- 即使对于初级分析师来说，界面也足够简单。
它仍然可以定制–；为您的目的选择操作系统、软件集、本地化和其他详细信息。但好处是你不需要安装任何东西！带上你的电脑，一切都准备好了。
两分钟通常就足以破解一个高级恶意软件，而大多数现代反规避技巧在这里都不起作用。任何快跑会把他们都追上。
