🕵️ سندباکس چقدر امنه؟ واقعاً بدافزارها می‌تونن گولش بزنن؟

📌 قبلاً درباره باز کردن فایل‌های مشکوک در Windows Sandbox صحبت کردیم؛ روشی برای بررسی فایل‌ها در محیطی ایزوله، بدون اینکه مستقیماً روی سیستم اصلی اجراشون کنیم.

اما یه سؤال مهم باقی می‌مونه: آیا بدافزار همیشه رفتار واقعی خودش رو داخل سندباکس نشون می‌ده؟

🔬 آمارها چی می‌گن؟

طبق یک پژوهش منتشرشده در سال ۲۰۲۲، محققان رفتار ۴۵٬۳۷۵ نمونه بدافزار ویندوزی مربوط به سال‌های ۲۰۱۰ تا ۲۰۱۹ رو بررسی کردن. این پژوهش ۹۲ روش مختلف برای پنهان‌کاری و دور زدن محیط‌های تحلیل رو دسته‌بندی کرد. <Link url="https://www.sciencedirect.com/science/article/abs/pii/S0167404821003746" title="مشاهده پژوهش"/>.

در یک مطالعه جداگانه از Positive Technologies هم، از میان نمونه‌های بررسی‌شده، ۱۶٪ نشانه‌هایی از روش‌های فرار از تحلیل داشتن؛ البته این عدد مربوط به همون مجموعه نمونه‌هاست و نمی‌شه اون رو به تمام بدافزارهای دنیا تعمیم داد. <Link url="https://global.ptsecurity.com/en/research/analytics/antisandbox-techniques/" title="مشاهده آمار و گزارش"/>.

🧩 بدافزارها چطور سندباکس رو دور می‌زنن؟

🖥️ تشخیص محیط مجازی: بررسی مشخصات سیستم، سرویس‌ها و نشانه‌های VMware یا VirtualBox.

⏳ تأخیر در اجرا: صبر کردن برای گذشت زمان یا فراهم شدن شرایط خاص، تا رفتار مخرب در بررسی کوتاه‌مدت دیده نشه.

🔍 شناسایی ابزارهای تحلیل: تغییر رفتار در صورت شناسایی ابزارهای مانیتورینگ یا دیباگ.

🧱 فرار واقعی از محیط ایزوله: سوءاستفاده از آسیب‌پذیری‌های لایه مجازی‌سازی برای تلاش جهت دسترسی به سیستم میزبان؛ اتفاقی متفاوت از صرفاً شناسایی سندباکس.

🛡️ پس باید چه نتیجه‌ای بگیریم؟

استفاده از Windows Sandbox همچنان یک لایه دفاعی مفیده؛ اما اگر فایلی داخلش رفتار مشکوکی نشون نداد، نمی‌تونیم صرفاً بر همین اساس سالم بودنش رو تأیید کنیم.

برای بررسی دقیق‌تر، باید تنظیمات ایزوله‌سازی، زمان تحلیل، رفتار فرایندها و ارتباطات شبکه رو هم در نظر گرفت.

💡 نکته مهم: درصدهای بالا میزان شناسایی یا استفاده از روش‌های ضدتحلیل در مجموعه‌های پژوهشی مشخص رو توصیف می‌کنن، نه احتمال اینکه یک فایل مشخص از سندباکس فرار کنه. ضمن اینکه پنهان کردن رفتار و فرار واقعی از محیط مجازی دو موضوع متفاوت‌اند.

📌 تیم بایتوتِک @Bytotech_Official
🌐سایت: bytotech.ir
✍️ نویسنده: آریا دوانقی

#بایتوتک #امنیت_سایبری #بدافزار #Sandbox #WindowsSandbox #MalwareAnalysis