新的沙盒逃逸技术

[gnaw0725]

http://blog.nsfocus.net/escaping-sandbox-technology/

自从诞生沙盒技术来阻挡恶意软件之后，恶意软件也在时刻想办法逃避沙盒，所谓沙盒逃逸技术。绿盟科技安全研究员做分析的过程中，发现 Upatre 木马新变种采用了新的逃逸技术。

Upatre 沙盒逃逸新技术
Upatre 木马使用了一些新的逃逸技术，来逃逸动态沙盒引擎的检查，这些技巧都非常的简单，但是非常的有效果。目前， VirusTotal 上 Upatre 的检出率并不高，此次的新变种就检测不出来，这说明现在的恶意软件对付杀毒软件是越来越有办法了。

目前在恶意软件上加壳倒是越来越少了，因为加壳容易引起杀软引擎的注意，相反地目前的 恶意软件大量使用边执行边修改自身代码的方法来躲避杀软，不执行的话看起来就像是一个 正常的软件，而真正执行起来代码却全变了，这也算是一种进化。

下面说说两种 Upatre 使用的沙盒逃逸的办法，样本 MD5: ac3558b973402ef6a27e03c391f20533

[icedx]

看标题还以为又爆出什么漏沙漏洞了呢...

这文作者语死早
这叫逃避不是逃逸

[typcn]

楼上＋ 1

还可以读进程列表，然后判断系统中是否运行了 qq 等常用软件。
如果有则从服务器上动态读取可执行代码， maual map 到当前进程内存中并执行。

[phoenixlzx]

话说我点开了楼主的发帖记录...