Malware-Analyse von außen: Die Probe merkt nichts
Die SecTepe Malware-Sandbox führt verdächtige Dateien aus und beobachtet sie dabei von außen. Dafür nutzt sie unsere eigene Engine sectepe-vmi. Im Gastsystem läuft kein Analyse-Programm, das die Malware finden könnte.
Demo anfragenWarum Malware Sandboxen erkennt
Viele Schädlinge prüfen zuerst ihre Umgebung. Sie suchen nach Analyse-Programmen und nach Spuren einer Testumgebung. Finden sie etwas, stellen sie sich harmlos. Der Bericht sieht dann sauber aus, obwohl die Datei gefährlich ist.
Das ist wie beim Ladendieb, der den Kaufhausdetektiv erkennt. Solange der Detektiv daneben steht, passiert nichts. Gute dynamische Malware-Analyse bleibt deshalb unsichtbar.
So funktioniert die Beobachtung über den Hypervisor
Der Hypervisor ist die Software, die virtuelle Maschinen betreibt. sectepe-vmi schaut über ihn direkt in den Speicher des Gasts. Diese Technik heißt Virtual Machine Introspection, kurz VMI. Jede Analyse läuft auf diesem Weg.
Kein Agent, kein Treiber
Im Gast gibt es keinen Agenten, kein fremdes Modul und keinen Treiber. Die Malware findet also nichts, was sie abschalten kann.
Start ohne verräterische Spuren
Unter Windows liegt kein Startskript auf der Platte. sectepe-vmi nutzt einen Vorgang, der im Gast schon läuft, und startet die Datei von dort. Es gibt kein Hilfsprogramm, das die Malware sehen kann.
Was Sie im Bericht sehen
Die Sandbox zeichnet Prozesse, Datei- und Netzwerkaktivität auf. Dazu kommen Screenshots während der Ausführung. Der KI-Reverse-Engineerfasst alles in einem kurzen Bericht mit Urteil zusammen.
Windows 10, Windows 11 und Linux als Gäste
Ein Analyse-Host betreibt Windows 10, Windows 11 und Linux parallel. Die Sandbox wählt den Gast nach Dateityp. Programme, DLLs, Office-Dokumente, PDFs und Windows-Skripte laufen unter Windows. ELF-Dateien, also Linux-Programme, und Shell-Skripte laufen unter Linux.
Die Windows-Gäste richten wir automatisch ein. Danach hält die Sandbox einen Schnappschuss fest. Das ist ein sauberer Stand, auf den sie immer wieder zurückkehrt.
Nach jeder Probe zurück auf Anfang
Nach jeder Analyse setzt die Sandbox den Gast auf den Schnappschuss zurück oder baut ihn frisch auf. Von der vorherigen Probe bleibt nichts zurück. Jede Datei startet in derselben sauberen Umgebung. So vermischen sich keine Ergebnisse.
Wie lange dauert eine Analyse?
Rechnen Sie mit 10 bis 15 Minuten pro Probe. Darin steckt ein ganzer Start des Gasts. Weil das Zeit kostet, gehen Mail-Anhänge nur mit aktivem Inhalt in die Ausführung. Eine Rechnung als PDF ohne Skripte muss nicht laufen. Mehr dazu auf der SeiteAPI und Einreichung.
Die Technik im Detail beschreibt unser Beitragsectepe-vmi: agentenlose Malware-Analyse. Wie eine Sandbox Proben automatisch prüft, zeigtAutomatisierte Malware-Analyse mit der Sandbox. Grundlagen finden Sie im Glossar unterMalware-Analyse.
Häufige Fragen zur agentenlosen Analyse
- Was bedeutet agentenlose Malware-Analyse?
- Im Gastsystem läuft kein Analyse-Programm. Die Engine sectepe-vmi beobachtet die virtuelle Maschine von außen über den Hypervisor. Die Malware findet deshalb nichts, das sie als Testumgebung entlarvt oder abschalten könnte.
- Kann Malware die Sandbox trotzdem erkennen?
- Die Beobachtung von außen nimmt der Malware die üblichen Hinweise. Eine vollständige Garantie gegen Sandbox-Erkennung gibt es aber bei keinem Produkt. Das sagen wir Ihnen ehrlich.
- Welche Dateien laufen im Linux-Gast?
- ELF-Dateien und Shell-Skripte gehen an den Linux-Gast. Programme, DLLs, Office-Dokumente, PDFs und Windows-Skripte laufen unter Windows. Die Sandbox wählt den Gast anhand des Dateityps.
- Wo laufen die Analysen?
- Auf einem eigenen Sandbox-Host, nicht bei einem Cloud-Anbieter. Wir betreiben ihn für Sie in Deutschland, oder Sie stellen ihn in Ihrem Rechenzentrum auf. Proben und Berichte bleiben bei Ihnen.
Sehen Sie eine Analyse live
Wir zeigen Ihnen, wie die Sandbox eine Probe von außen beobachtet und was im Bericht steht.
Demo anfragenSo arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.