Moderne Schadsoftware prüft zuerst, ob sie beobachtet wird – und stellt sich harmlos, sobald sie einen Analyse-Agenten, einen injizierten Hook oder einen Sandbox-Artefakt entdeckt. Die SecTepe Sandbox dreht diesen Spieß um: Mit der Engine sectepe-vmi wird eine Probe in einem echten Windows- oder Linux-Gast gezündet und vollständig von außerhalb des Gasts beobachtet. Kein In-Guest-Agent, kein injizierter DLL, kein Kernel-Treiber – nichts, das die Malware finden und abschalten könnte.
Beobachten von außen: Virtual Machine Introspection
Grundlage ist Virtual Machine Introspection (VMI) auf Basis von IntroVirt – einer KVM-nativen, DRAKVUF-äquivalenten Engine, die über eine gepatchte KVMi-Schnittstelle direkt auf Speicher und Ausführung des Gasts blickt. Der Analyse-Host ist eine KVM/KVMi-VM; ein einziger Runner-Host bedient Windows 10, Windows 11 und Linux parallel. IntroVirt wurde dabei nachweislich gegen Windows 11 (22H2, Build 22621) verifiziert.
Artefaktfreier Start unter Windows
Der entscheidende Trick gegen Anti-Analyse: Unter Windows gibt es keinen Launcher-Artefakt auf der Platte. Statt einer RunOnce-Schlüssel, eines AutoLogon oder eines Startskripts wird die Probe gestartet, indem ein lebender Gast-Thread übernommen und durch einen synthetischen NtCreateUserProcess-Syscall geführt wird. Aus Sicht der Malware taucht schlicht kein verräterisches Analyse-Artefakt auf.
Die iv*-Toolchain
Die Beobachtung erfolgt über eine Reihe spezialisierter Werkzeuge, die alle Ausgaben im einheitlichen sectepe-vmi-JSONL-Format liefern:
ivexec– Ausführung anstoßen,ivguestinfoundivprocinfo– Gast- und Prozessinformationen,ivsyscallmon– Syscall-Monitoring,ivprocmemdumpundivwritefile– Speicher-Dumps und Dateizugriff.
Pro Domain ist bewusst nur eine Introspektions-Session zugelassen (parallele Attaches führen zu DomainBusyException), sodass die Werkzeuge streng sequenziell arbeiten. Eine OS-Erkennungs-Warmlaufschleife pollt ivguestinfo, um Windows-11-Boot-Races zuverlässig abzufangen.
Android, interaktive Sitzungen und sauberes Zurücksetzen
Die agentenlose Analyse deckt auch Android-x86 ab: APKs/DEX werden über denselben Out-of-VM-Pfad analysiert statt über einen In-Guest-Agenten. Für die manuelle Analyse gibt es eine WebRTC-Interaktiv-Sitzung (QEMU-Display über GStreamer, Eingaben über DataChannel, sogar im mobilen Browser); interaktive VMs starten und stoppen automatisch nur für die Dauer der Operator-Sitzung. Zurückgesetzt wird über libvirt-Snapshots oder einen frischen Overlay-Rebuild – der zugleich hartnäckige INT3/MSR-Hooks entfernt.
Hinweis zur Benennung: Die technische Basis nutzt IntroVirt/KVMi; in der Produktkommunikation heißt die Engine sectepe-vmi und das Produkt SecTepe Sandbox. Die auf Hardware angewiesenen Ausbaustufen – Bare-Metal-Introspektion und ARM64-VMI – sind als Roadmap spezifiziert, nicht als fertig ausgeliefert.
Fazit
sectepe-vmi macht die SecTepe Sandbox zu einem Analysewerkzeug, das die Malware nicht kommen sieht: Beobachtung komplett von außen, artefaktfreier Start, eine saubere Toolchain und automatisches Zurücksetzen. Genau diese Unsichtbarkeit ist der Unterschied zu klassischen In-Guest-Sandboxen – und der Grund, warum evasive Samples hier ihr echtes Verhalten zeigen. Wie die Ergebnisse anschließend triagiert werden, zeigt der Beitrag zu den IoC-Konfidenz-Tiers.