Statische Malware-Analyse stößt schnell an Grenzen. Gepackte Programme, mehrstufige Office-Dokumente mit Makros oder Skripte, die ihren Schadcode erst später nachladen, fallen bei Signaturen oft nicht auf. Eine Sandbox geht anders vor: Sie führt die verdächtige Datei in einer abgeschotteten Umgebung aus und beobachtet ihr Verhalten. Genau das macht die SecTepe Malware-Sandbox.
Was die Sandbox liefert
Die Sandbox sagt nicht nur „verdächtig oder nicht“. Sie zeigt, welche Prozesse eine Datei startet, welche Dateien sie schreibt und mit welchen Servern sie Kontakt aufnimmt. Bei bekannten Malware-Familien liest sie zusätzlich die Konfiguration aus, etwa C2-Server und Schlüssel. Genau diese Indikatoren braucht die Threat Intelligence.
So läuft eine Analyse ab
Die Mail-Pipeline prüft jeden Anhang zuerst mit Virenscanner, YARA-Regeln und Hash-Reputation. Ist das Ergebnis „verdächtig“ oder „unbekannt“, geht es weiter:
- Eine statische Vorauswahl prüft, ob die Datei aktiven Inhalt hat, etwa Makros oder ausführbaren Code.
- Der Sandbox-Controller wählt den passenden Gast: Windows 10, Windows 11 oder Linux.
- Die Datei läuft in einer abgeschotteten VM. Die Pipeline wartet bis zu 10 Minuten auf den Bericht.
- Der Bericht listet Prozesse, Netzwerkverkehr, Dateizugriffe, Registry-Änderungen und gefundene Indikatoren.
- Das Urteil zur Mail wird aktualisiert. Mails mit hohem Risiko landen in der Freigabe nach dem Vier-Augen-Prinzip.
Warum Malware Sandboxen erkennt – und was dagegen hilft
Moderne Malware prüft, ob sie in einer Sandbox läuft. Sie zählt CPU-Kerne, misst den Arbeitsspeicher, prüft MAC-Adressen oder wartet auf Benutzeraktivität. Die SecTepe Malware-Sandbox setzt dem Folgendes entgegen:
- Aktuelle Gast-Systeme: Windows 10 22H2 und Windows 11 24H2, unbeaufsichtigt per Antwortdatei installiert.
- Beobachtung von außen: Unsere eigene Engine sectepe-vmi liest das Verhalten über den Hypervisor mit. Im Gast läuft kein Analyse-Agent, den die Malware entdecken könnte.
- Ausweichverhalten als Befund: Signaturen melden Anti-VM-, Anti-Debug- und Anti-Sandbox-Tricks. Wer sich tarnt, fällt gerade dadurch auf.
Windows- und Linux-Gäste
Windows-Gäste decken den größten Teil ab: Office-Dokumente mit Makros, LNK-Dateien, ISO- und IMG-Container, Batch- und PowerShell-Skripte sowie MSI-Installer. Linux-Gäste übernehmen ELF-Dateien, Shell-Skripte und Python-Loader. Nach jeder Analyse geht die VM auf einen sauberen Stand zurück.
Bessere Ergebnisse durch Threat Intelligence
Jede Analyse wird automatisch mit Daten aus dem CTI-Stack angereichert. Gefundene Indikatoren werden mit MISP abgeglichen, der Hash mit MalwareBazaar und die C2-Domain mit URLhaus. So entsteht statt eines bloßen „bösartig“ ein lesbarer Bericht: welche Familie, welcher C2-Server, seit wann bekannt und welche MITRE-ATT&CK-Technik.
Im Betrieb
- Dauer: Auf einen Bericht wartet die Pipeline bis zu 10 Minuten. Eine Analyse mit sectepe-vmi dauert 10–15 Minuten. Das passt, weil die Pipeline im Hintergrund läuft. Die Mail erscheint im Postfach, sobald sie freigegeben ist.
- Kapazität: Die statische Vorauswahl schickt nur Anhänge mit aktivem Inhalt in die Sandbox. Eine normale PDF-Rechnung belegt so keine Analyse-VM.
- Quarantäne: Neue Einträge in der Mail-Quarantäne gehen automatisch zur Analyse. Das gilt auch rückwirkend für Mails, die vor dem Einschalten der Sandbox ankamen.
Fazit
Eine Sandbox ist keine Premium-Funktion mehr, sondern Pflicht für ernsthafte Mail-Sicherheit. Die SecTepe Malware-Sandbox verbindet eigene Analyse von außen, Threat Intelligence und den Mail-Workflow. Sie lässt sich mit dem Mail Security Gateway nutzen oder allein über ihre REST-API.