Sandbox Evasion

Définition

L'évasion de sandbox désigne les techniques permettant à un malware de détecter qu'il s'exécute dans un environnement d'analyse automatisé (sandbox) plutôt que sur un vrai poste utilisateur, et d'adapter son comportement en conséquence : rester dormant, s'auto-supprimer, ou ne pas exécuter son payload malveillant principal. Les sandboxes (Cuckoo, Any.run, VirusTotal, Joe Sandbox) sont des environnements virtuels automatisés utilisés par les éditeurs AV et les analystes pour analyser le comportement des malwares. Les techniques de détection de sandbox incluent : la vérification de l'environnement matériel (RAM < 4GB, nombre de cœurs < 2, absence de disques physiques), la détection de virtualisation (CPUID avec hypervisor bit, enregistres RDTSC timing trop régulier, artefacts VMware/VirtualBox comme des fichiers, processus ou clés de registre spécifiques), la vérification de l'activité utilisateur (absence de mouvement de souris, pas d'historique de fichiers récents, pas de documents typiques d'un vrai utilisateur), les délais temporels (sleep pendant plusieurs minutes avant exécution, les sandbox avec timeout court n'attendent pas), et la vérification de domaine AD (les sandboxes sont rarement jointes à un domaine d'entreprise). Des techniques avancées incluent : les timing attacks (mesurer le temps d'exécution d'opérations simples, les émulateurs sont souvent plus lents), la vérification du nom d'utilisateur et du hostname (les sandbox utilisent souvent des noms génériques comme 'SANDBOX', 'DESKTOP-', 'JOHN'), la vérification du nombre de fichiers dans les dossiers Documents/Desktop (un vrai utilisateur en a beaucoup, une sandbox non), et l'interaction avec des services externes (le malware peut contacter un serveur de contrôle qui retourne le vrai payload uniquement si l'IP source correspond à la cible). L'évasion conditionnelle est une approche élégante : le malware chiffre son payload avec une clé dérivée d'une information spécifique à l'environnement cible (hash du nom de domaine AD, date de compilation + N jours). Seul un système correspondant aux critères peut déchiffrer et exécuter le payload.