Was ist eine Malware-Sandbox?

Eine Malware-Sandbox führt eine verdächtige Datei in einer abgeschotteten virtuellen Maschine aus. Sie beobachtet, was die Datei tut: welche Prozesse sie startet, welche Dateien sie schreibt und mit wem sie Kontakt aufnimmt. So erkennt sie Schadsoftware, die ein reiner Virenscanner übersieht.

Kann ich die Sandbox ohne das Mail Security Gateway nutzen?

Ja. Die Sandbox hat eine eigene REST-API. Darüber reichen Sie Dateien aus beliebigen Systemen ein, etwa aus Ihrem Mailserver, Ihrem EDR oder Ihren SOC-Werkzeugen. Das Mail Security Gateway und der SecTepe-EDR-Agent sind fertige Anbindungen, aber keine Voraussetzung.

Was hat SecTepe selbst entwickelt?

Den Kern: den Sandbox-Controller, die statische Vorauswahl, die VMI-Engine sectepe-vmi, die Anbindung an Gateway, EDR und CTI sowie den KI-Analysten. Dazu kommt die klassische Detonation im Gast für Windows und Linux.

Welche Dateien kann ich analysieren lassen?

Die Sandbox ist auf Windows-Dateien ausgerichtet: Programme, DLLs, Skripte, Office-Dokumente und PDFs. ELF-Dateien und Shell-Skripte gehen an einen Linux-Gast. Links prüft nicht die Sandbox selbst, sondern der URL-Detonator im Mail Security Gateway.

Erkennt Malware, dass sie in einer Sandbox läuft?

Manche Schadsoftware versucht das. Darum beobachtet unsere Engine sectepe-vmi auf Wunsch von außen über den Hypervisor. Dabei läuft die Beobachtung außerhalb der VM. Eine vollständige Garantie gegen Sandbox-Erkennung gibt es aber bei keinem Produkt.

Wo laufen meine Proben?

Die Sandbox läuft auf einem eigenen Sandbox-Host und nicht bei einem Cloud-Anbieter. Sie wählen: Wir betreiben den Host für Sie in Deutschland, oder Sie stellen ihn in Ihrem eigenen Rechenzentrum auf. Berichte und Screenshots bleiben bei Ihnen. Der optionale KI-Analyst sendet nur Merkmale wie Hashes und Signaturen an ein Sprachmodell. Er lässt sich auch gegen einen eigenen GPU-Server betreiben.

Alle Produkte

Malware-Analyse

SecTepe Malware-Sandbox– verdächtige Dateien sicher ausführen

Die Sandbox führt verdächtige Dateien in isolierten Windows-VMs aus und zeigt, was sie wirklich tun. Sie reichen Dateien per API aus Ihren eigenen Systemen ein. Mit dem Mail Security Gateway oder dem EDR-Agenten geht es auch automatisch.

Demo anfragen

Auf einen Blick

Eigenständig nutzbar über REST-API
Eigene VMI-Engine, kein Agent im Gast
Gast-VMs mit Windows 10 und Windows 11
Optional: Analyse von außen per VMI
Signaturen, YARA-Pack, Screenshots
Selbst gehostet, keine Cloud-Sandbox

Malware-Analyse: statisch reicht nicht

Ein Virenscanner vergleicht Dateien mit bekannten Mustern. Gepackte Programme, Makro-Dokumente oder Skripte, die ihren Schadcode erst nachladen, fallen dabei oft nicht auf. Eine Malware-Sandbox geht anders vor. Sie führt die Datei aus und beobachtet ihr Verhalten.

Die SecTepe Malware-Sandbox ist eine Eigenentwicklung. Controller, Vorauswahl und die VMI-Engine stammen von uns. Die Sandbox ist ein eigenes Produkt. Sie können sie allein betreiben und aus jedem System ansprechen, das Dateien per HTTP übergeben kann. Wie die Analyse von außen funktioniert, beschreibt unser Beitragsectepe-vmi: agentenlose Malware-Analyse.

Funktionen im Überblick

Was die Sandbox mit einer Probe macht und was Sie danach im Bericht sehen.

Gast-VMs mit Windows 10 und 11

Proben laufen in Gast-VMs mit Windows 10 oder Windows 11. Für Linux-Dateien wie ELF oder Shell-Skripte gibt es einen Linux-Gast. Nach jeder Analyse geht es zurück auf einen sauberen Stand.

Analyse von außen (VMI)

Unsere eigene Engine sectepe-vmi beobachtet die VM von außen über den Hypervisor. Im Gast läuft kein Analyse-Agent. Der Sandbox-Controller entscheidet je Probe, welche Analyse passt.

Signaturen und YARA-Pack

Die Sandbox nutzt Verhaltenssignaturen und ein YARA-Pack mit Regeln für Malware-Familien. Dazu kommen Regelsätze aus signature-base, Elastic und YARA Forge.

Konfiguration und Speicher

Die Sandbox liest die Konfiguration bekannter Familien aus, etwa C2-Server und Schlüssel. Ein Speicherabbild wird mit Volatility 3 ausgewertet. DIE erkennt Packer.

Netzwerk und Anreicherung

Gefundene Indikatoren gleicht die Sandbox mit MISP und dem CTI-Wissensgraph von SecTepe ab. Auf Wunsch schneidet ein TLS-Proxy verschlüsselten Verkehr der Probe mit.

Screenshots und Bericht

Während der Ausführung entstehen Screenshots. Der Bericht zeigt Signaturen, Prozesse, Datei- und Netzwerkaktivität. Ein KI-Analyst fasst die Ergebnisse auf Wunsch kurz zusammen.

So reichen Sie Dateien ein

Alle Wege führen über den Sandbox-Controller. Er nimmt Proben an und verteilt sie auf die passende Engine. Diese Einreichungswege gibt es:

REST-API: Ihr System meldet die Datei mit Name und SHA-256 an und lädt sie dann hoch. Bericht und Urteil fragen Sie per Job-ID oder Hash ab. Der Zugriff ist mit einem API-Schlüssel geschützt.
Eigene Mail-, EDR- oder SOC-Systeme: Sie binden sie über diese API an. Die Anbindung planen wir gern mit Ihnen.
Mail Security Gateway: Anhänge mit aktivem Inhalt gehen automatisch in die Sandbox.
SecTepe-EDR-Agent (opt-in): Unbekannte ausführbare Dateien auf Windows und Linux lädt der Agent nach seiner Entscheidung hoch, je Hash nur einmal.

Das Ergebnis fließt zurück an die Quelle. Im EDR gilt das Urteil künftig für diesen Hash. Im Modus „enforce“ blockiert der Agent den nächsten Start einer als schädlich erkannten Datei.

Noch stärker im Verbund

Die Sandbox arbeitet allein. Mit weiteren SecTepe-Produkten nutzen Sie ihre Ergebnisse aber direkter.

Das Mail Security Gatewayschickt nur Anhänge mit aktivem Inhalt in die Sandbox. Die Screenshots sieht der Admin in der Quarantäne-Ansicht. Fällt ein Urteil erst nach der Zustellung, holt der Gateway die Mail aus allen Postfächern zurück.

SecTepe EDR übergibt unbekannte Programme von Endgeräten. Treffer landen als Alarm imWazuh SIEM. Ihr Team oder unser Security Operations Centerwertet sie aus. Erkannte Proben lassen sich im Malware-Archiv derThreat Intelligence von SecTepe.Core archivieren.

Optional: KI-Analyst

Fasst Signaturen, YARA-Treffer, MITRE-Techniken und IOCs zu einem kurzen Bericht zusammen.
Gibt ein Urteil von „harmlos“ bis „kritisch“ mit Begründung.
Mailtext und Probe verlassen das System nicht. Auf Wunsch läuft das Modell auf einem eigenen GPU-Server.

Datenhoheit: Ihre Proben bleiben bei Ihnen

Viele Sandbox-Dienste laufen in der Cloud. Wer dort eine Datei hochlädt, gibt sie aus der Hand. Bei internen Dokumenten ist das oft keine Option.

Die SecTepe Malware-Sandbox läuft auf einem eigenen Sandbox-Host. Den betreiben wir für Sie in Deutschland, oder Sie stellen ihn bei sich auf. Proben, Berichte und Screenshots bleiben in Ihrer Umgebung. Nur der KI-Analyst spricht ein Sprachmodell an, und auch das nur mit Merkmalen wie Hashes und Signaturen. Diesen Schritt schalten Sie nur ein, wenn Sie ihn wollen.

Häufige Fragen zur Malware-Sandbox

Was ist eine Malware-Sandbox?: Eine Malware-Sandbox führt eine verdächtige Datei in einer abgeschotteten virtuellen Maschine aus. Sie beobachtet, was die Datei tut: welche Prozesse sie startet, welche Dateien sie schreibt und mit wem sie Kontakt aufnimmt. So erkennt sie Schadsoftware, die ein reiner Virenscanner übersieht.
Kann ich die Sandbox ohne das Mail Security Gateway nutzen?: Ja. Die Sandbox hat eine eigene REST-API. Darüber reichen Sie Dateien aus beliebigen Systemen ein, etwa aus Ihrem Mailserver, Ihrem EDR oder Ihren SOC-Werkzeugen. Das Mail Security Gateway und der SecTepe-EDR-Agent sind fertige Anbindungen, aber keine Voraussetzung.
Was hat SecTepe selbst entwickelt?: Den Kern: den Sandbox-Controller, die statische Vorauswahl, die VMI-Engine sectepe-vmi, die Anbindung an Gateway, EDR und CTI sowie den KI-Analysten. Dazu kommt die klassische Detonation im Gast für Windows und Linux.
Welche Dateien kann ich analysieren lassen?: Die Sandbox ist auf Windows-Dateien ausgerichtet: Programme, DLLs, Skripte, Office-Dokumente und PDFs. ELF-Dateien und Shell-Skripte gehen an einen Linux-Gast. Links prüft nicht die Sandbox selbst, sondern der URL-Detonator im Mail Security Gateway.
Erkennt Malware, dass sie in einer Sandbox läuft?: Manche Schadsoftware versucht das. Darum beobachtet unsere Engine sectepe-vmi auf Wunsch von außen über den Hypervisor. Dabei läuft die Beobachtung außerhalb der VM. Eine vollständige Garantie gegen Sandbox-Erkennung gibt es aber bei keinem Produkt.
Wo laufen meine Proben?: Die Sandbox läuft auf einem eigenen Sandbox-Host und nicht bei einem Cloud-Anbieter. Sie wählen: Wir betreiben den Host für Sie in Deutschland, oder Sie stellen ihn in Ihrem eigenen Rechenzentrum auf. Berichte und Screenshots bleiben bei Ihnen. Der optionale KI-Analyst sendet nur Merkmale wie Hashes und Signaturen an ein Sprachmodell. Er lässt sich auch gegen einen eigenen GPU-Server betreiben.

Eigene Sandbox statt Cloud-Upload

Wir zeigen Ihnen eine Analyse und besprechen, wie Sie die Sandbox an Ihre Systeme anbinden.

Demo anfragen Alle Produkte

So arbeiten wir mit Ihnen zusammen

Wir sehen jedes Projekt als langfristige Partnerschaft, nicht als einmalige Lieferung. Unser Vorgehen hat vier klare Phasen. So wissen Sie immer, was als Nächstes passiert, wer wofür zuständig ist und welche Ergebnisse Sie erwarten.

1. Kostenloses Erstgespräch

Wir lernen Ihre Ausgangslage, Ihre Ziele und Ihre Rahmenbedingungen kennen. In 30 bis 45 Minuten prüfen wir, ob unsere Leistung zu Ihnen passt. Wir zeigen mögliche Wege auf und beantworten Ihre Fragen.

2. Strukturiertes Assessment

Wir erfassen den Ist-Zustand: technisch, organisatorisch und regulatorisch. Sie erhalten eine priorisierte Bewertung mit Stärken, Lücken und Handlungsfeldern. Sie ist die Grundlage für ein belastbares Angebot.

3. Umsetzung mit festem Ansprechpartner

Ein erfahrener Projektleiter führt Sie durch die Umsetzung. Es gibt klare Meilensteine, eine transparente Zeit- und Kostenplanung und einen wöchentlichen Status. Alle Ergebnisse werden dokumentiert und gehören Ihnen.

4. Kontinuierlicher Betrieb & Review

Nach dem Projekt begleiten wir Sie im Betrieb. Dazu gehören Managed Services, regelmäßige Reviews und die Verfolgung offener Maßnahmen. Wir melden uns auch von uns aus bei neuen Bedrohungen, neuen Vorgaben oder Technologiewechseln.