转载

也来谈谈沙箱逃逸技术

今天在微博上看到有大神发表了关于沙箱逃逸技术的文章针对沙箱检测的逃逸技术小讨论，让我想起来我也还有几个有意思的小技巧，所以也来凑个热闹。需要声明的一点是，本文将要讨论的问题是我很久之前所做的总结，当前是否有效我没有去验证，所以，如果你实际测试的时候发现方法失效了，也请保持冷静！

0×01. 进程检测技巧

许多文章都会提到通过检测进程名字的方式来判断当前环境是否是虚拟机，那么自然要去比较进程名字了，而获取当前进程列表也无外乎几个固定的套路。我发现在检测特定进程名字的时候，是会触发火眼的监控逻辑的。比如，一个盗号木马可能会去检测有没有QQ.exe，那么火眼会在报告中指出样本程序尝试去检测QQ.exe；而如果以同样的逻辑去检测虚拟机，效果就和预期的不太一致了，比如报告中会提示你的程序尝试去检测vmtoolsd.exe，呵呵！

绕过的方法也很简单，样本程序中不保存进程名字的明文，而是保存经过特定的运算之后的值（加密后的密文）。我们在获取到进程的名字之后，也要先进行一次这样的运算再判断。这种方法是我大学做病毒分析实习的时候在样本中学到的，大家可以在Google中搜一下explorer.exe的MD5值cde09bcdf5fde1e2eac52c0f93362b79。

0×02. 沙箱检测还可以这么玩

2.1 基于Windows ProductId检测

这也算是比较老的一种方法了，Windows ProductId位于注册表的HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion下的ProductID键。比如Anubis沙箱常见的值为76487-640-1457236-23837，去Google一下这个字符串就知道使用的普遍程度了。

这个方法针对Cuckoo Sandbox是没用的，Cuckoo Sandbox在执行sample之前会生成一个随机的ProductId来填充注册表。Malwr是基于Cuckoo构建的产品。这种检测行为会触发监控逻辑哟~

2.2 基于ComputerName检测

估计公司电脑的ComputerName大多是有规则的，或者是基于同一个镜像制作的虚拟机。比如我之前测试翰海源的文件B超的时候，发现其ComputerName都是xiaochen打头的。后来的后来，好像又出现了CHENHONG打头的，估计就是同一个人了。后面我会给出其他几家厂商的特征。

2.3 基于内存大小检测

有的厂商估计不太愿意浪费硬件，给沙箱只分配了少量内存，比如Anubis只给了128M，Comodo只给了256M，国内的翰海源和金山火眼则是512M。如果你的PC机只有这么小的内存，那只能说你是在是太节俭了。当然，考虑到有的服务器可能就是这个样子，所以怎么检测就看实际情况了。

同样的，基于硬盘大小去检测我想也是可以的。

2.4 基于样本路径检测

样本上传到沙箱之后，样本自身的路径也可以当做一个特征来检测。比如Comodo的沙箱（是的，不是HIPS，是在线沙箱）的样本路径固定位C:/TEST/sample.exe，这个就太明显了。

2.5 沙箱指纹测试小结

很早之前的数据了，测试了翰海源文件B超、金山火眼、Anubis、Comodo、Malwr，因为有些沙箱服务不太稳定，所以只测试了这几个。结果如图所示：