这是一个创建于 3662 天前的主题，其中的信息可能已经有所发展或是发生改变。
http://blog.nsfocus.net/escaping-sandbox-technology/
自从诞生沙盒技术来阻挡恶意软件之后，恶意软件也在时刻想办法逃避沙盒，所谓沙盒逃逸技术。绿盟科技安全研究员做分析的过程中，发现 Upatre 木马新变种采用了新的逃逸技术。
Upatre 沙盒逃逸新技术
Upatre 木马使用了一些新的逃逸技术，来逃逸动态沙盒引擎的检查，这些技巧都非常的简单，但是非常的有效果。目前， VirusTotal 上 Upatre 的检出率并不高，此次的新变种就检测不出来，这说明现在的恶意软件对付杀毒软件是越来越有办法了。
目前在恶意软件上加壳倒是越来越少了，因为加壳容易引起杀软引擎的注意，相反地目前的 恶意软件大量使用边执行边修改自身代码的方法来躲避杀软，不执行的话看起来就像是一个 正常的软件，而真正执行起来代码却全变了，这也算是一种进化。
下面说说两种 Upatre 使用的沙盒逃逸的办法，样本 MD5: ac3558b973402ef6a27e03c391f20533
 | 1 icedx 2015-11-17 14:52:21 +08:00  1 看标题还以为又爆出什么漏沙漏洞了呢... 这文作者语死早 这叫逃避不是逃逸 |
 | 2 typcn 2015-11-17 15:16:55 +08:00 楼上＋ 1 还可以读进程列表，然后判断系统中是否运行了 qq 等常用软件。 如果有则从服务器上动态读取可执行代码， maual map 到当前进程内存中并执行。 |
 | 3 phoenixlzx 2015-11-17 15:43:58 +08:00 话说我点开了楼主的发帖记录... |
Select Language