Analyse Malware en Sandbox

Définition

L'analyse malware en sandbox (ou analyse dynamique) consiste à exécuter un échantillon suspect dans un environnement isolé et instrumenté afin d'observer son comportement réel : appels système, création de processus, écritures en base de registre, connexions réseau et modifications du système de fichiers. Contrairement à l'analyse statique, qui inspecte le binaire sans l'exécuter (chaînes de caractères, imports, entropie, signatures YARA), la sandbox laisse le code se dérouler jusqu'à révéler ses charges utiles chiffrées, ses domaines de commande et contrôle (C2) et ses mécanismes de persistance.

Cette technique est un pilier du forensics et de la réponse à incident : elle transforme un fichier opaque en une liste exploitable d'indicateurs de compromission (IoC) et de TTP cartographiables sur MITRE ATT&CK.

Fonctionnement technique

Une sandbox repose sur trois briques complémentaires :

• L'isolation — machine virtuelle (VirtualBox, KVM, VMware) ou conteneur durci, réseau segmenté, snapshot restauré après chaque détonation. L'environnement est jetable par conception.
• L'instrumentation — interception des appels à l'API Windows par hooking en espace utilisateur (injection d'une DLL de monitoring), par driver noyau, ou par introspection hyperviseur (VMI). L'introspection est la plus furtive : le malware ne voit aucun hook dans son propre espace mémoire.
• La capture — enregistrement PCAP du trafic, dumps mémoire du processus, arbre de processus, journal des fichiers déposés, captures d'écran et diff du registre avant/après.

Un cycle typique dure 2 à 5 minutes : restauration du snapshot, dépôt de l'échantillon, exécution avec les privilèges appropriés, collecte des artefacts, génération du rapport, destruction de la VM. Les appels surveillés en priorité sont ceux liés à l'injection (VirtualAllocEx, WriteProcessMemory, CreateRemoteThread), à la persistance (RegSetValueEx sur Run, création de tâche planifiée, service Windows) et à la cryptographie (CryptEncrypt, BCryptGenRandom) — signature classique d'un ransomware.

Les solutions du marché

• Cuckoo Sandbox et son successeur CAPEv2 — open source, auto-hébergeable, extensible via signatures Python. CAPE ajoute l'extraction automatique de configuration (adresses C2, clés RC4) pour plus de 200 familles.
• Any.run — sandbox interactive en ligne : l'analyste clique lui-même dans la VM, ce qui permet de franchir les leurres (mots de passe d'archive, macros à activer, faux CAPTCHA).
• Joe Sandbox — analyse hybride multi-OS (Windows, Linux, macOS, Android), scoring comportemental détaillé et rapports orientés conformité.
• VMRay — introspection hyperviseur pure, référence pour les échantillons fortement évasifs.
• Hybrid Analysis et le moteur comportemental de VirusTotal — accès gratuit, mais soumission publique par défaut.

Techniques d'évasion (anti-sandbox)

Les développeurs de malwares intègrent systématiquement des contrôles anti-analyse. Les plus fréquents :

• Détection d'artefacts — présence de vboxguest.sys, adresses MAC en 08:00:27, clés de registre VMware, processus procmon.exe ou wireshark.exe.
• Empreinte matérielle — moins de 4 cœurs CPU, moins de 4 Go de RAM, disque inférieur à 100 Go, absence de mouvement de souris ou d'historique de documents récents.
• Temporisation — sleep prolongé ou boucles de calcul inutiles pour dépasser la fenêtre d'observation, contournés par l'accélération du temps virtuel.
• Conditions d'environnement — exécution uniquement si la langue du système est cyrillique, si le domaine Active Directory correspond à la cible, ou si un argument de ligne de commande précis est fourni (cas d'Emotet et de nombreux loaders).

Exemples concrets

Un fichier facture.xlsm reçu par phishing révèle en sandbox une macro VBA qui invoque powershell -enc, télécharge un DLL depuis un site WordPress compromis et le charge via rundll32. Le PCAP expose l'IP du C2, le dump mémoire livre la clé de chiffrement du beacon. Résultat : trois IoC réseau et une règle YARA diffusables au SOC en moins d'une heure.

Autre cas courant : un binaire signé légitime (living off the land) qui n'affiche aucun comportement suspect statiquement, mais que la sandbox surprend en train de créer une tâche planifiée et de contacter un domaine en .top généré par DGA.

Bonnes pratiques

• Isoler strictement le réseau : VLAN dédié, jamais de route vers le SI de production. Utiliser INetSim ou FakeNet-NG pour simuler Internet, ou un tunnel VPN dédié si le trafic réel est nécessaire.
• Ne jamais soumettre un échantillon confidentiel à une plateforme publique : un document interne piégé devient consultable par tous, y compris par l'attaquant qui surveille les soumissions.
• Rendre la VM crédible : documents utilisateur, historique de navigation, plusieurs cœurs, désinstallation des guest additions.
• Croiser dynamique et statique — la sandbox seule ne suffit pas ; associer désassemblage (Ghidra, IDA) et règles YARA sur les dumps mémoire.
• Capitaliser : verser systématiquement les IoC dans une plateforme de threat intelligence (MISP) et les corréler dans le SIEM et l'EDR.

Concepts liés

L'analyse en sandbox s'articule avec le reverse engineering, l'EDR (qui applique la même logique comportementale sur les postes réels), le SIEM pour la corrélation, les règles YARA pour la détection à l'échelle, et la Cyber Threat Intelligence pour l'attribution. Elle alimente directement les procédures de réponse à incident définies dans un plan conforme à NIS 2 ou ISO 27001.