概要
【概要】
| 回避手法 | ファイルを利用しない攻撃 | 従来のサンドボックスの動作 |
|---|---|---|
| ファイルスキャンを回避 | 関与するファイル無し | 要求に応じたファイルのスキャン |
| 相関分析の妨害 | システムプロセスに偽装したスクリプトやコマンドプロンプトの使用 | システムAPIレベルのフック |
| サンドボックスの回避 | 遅延実行（例：タスクのスケジュール作成） | 限られた時間のみの監視 |
| アンチフォレンジック | メモリの感染の痕跡は揮発性 | - |
表：ファイルを利用しない攻撃のサンドボックス回避手法
出典: http://blog.trendmicro.co.jp/archives/14720
記事
【ニュース】
◆フォーティネット、APT攻撃にプロアクティブに対処するサンドボックス製品 (クラウドWatch, 2014/01/29 06:00)
http://cloud.watch.impress.co.jp/docs/news/20140129_632779.html
⇒ https://malware-log.hatenablog.com/entry/2014/01/29/000000_3
◆「標的型攻撃対策はサンドボックスだけで十分」は大きな誤解だった？ (TechTarget, 2014/10/20 10:00)
今なお増加を続ける標的型攻撃対策として、“切り札”だと見なされている技術が「サンドボックス」だ。サンドボックスに「死角」はないのか。標的型攻撃の動向とともに確認してみよう
http://techtarget.itmedia.co.jp/tt/news/1410/16/news01.html
⇒ https://malware-log.hatenablog.com/entry/2014/10/20/000000
◆巧妙なマルウェアに対抗する最先端のサンドボックス技術 (Trendmicro, 2017/04/18)
http://blog.trendmicro.co.jp/archives/14720
⇒ https://malware-log.hatenablog.com/entry/2017/04/18/000000_1
◆Windows 10 Creators Updateで強化されるEdgeのサンドボックス機能 - 阿久津良和のWindows Weekly Report (マイナビニュース, 2017/03/27)
http://news.mynavi.jp/articles/2017/03/27/windows10report/
⇒ https://malware-log.hatenablog.com/entry/2017/03/27/000000_2
◆パロアルト、「PAN-OS 8.0」をリリース - サンドボックス回避攻撃へ対策 (Security NEXT, 2017/03/08)
http://www.security-next.com/079229
⇒ https://malware-log.hatenablog.com/entry/2017/03/08/000000_4
◆検知を回避するマルウェアが使用するメカニズムを徹底解説 (ASCII.jp, 2017/01/27 14:01)
http://ascii.jp/elem/000/001/424/1424813/
【ブログ】
◆PyREBox, a Python Scriptable Reverse Engineering Sandbox (Talos(CISCO), 2017/07/17)
https://blog.talosintelligence.com/2017/07/pyrebox.html
⇒ https://malware-log.hatenablog.com/entry/2017/07/17/000000_1
◆PyREBox、Python スクリプトで操作可能なリバース エンジニアリング サンドボックス (Talos(CISCO), 2017/07/26)
https://gblogs.cisco.com/jp/2017/07/pyrebox/
⇒ https://malware-log.hatenablog.com/entry/2017/07/26/000000_4
◆A Modern Hypervisor as a Basis for a Sandbox (SECURELIST, 2017/09/19)
https://securelist.com/a-modern-hypervisor-as-a-basis-for-a-sandbox/81902/
⇒ https://malware-log.hatenablog.com/entry/2017/09/19/000000_9
