Evasione Sandbox: Virtualization/Sandbox Evasion (T1497)
La tecnica T1497 - Virtualization/Sandbox Evasion descrive l'insieme di controlli che il malware esegue per riconoscere di trovarsi all'interno di una macchina virtuale, un emulatore o una sandbox di analisi. Quando l'ambiente viene identificato come artificiale, il codice modifica il proprio comportamento: termina l'esecuzione, entra in loop di attesa, rilascia payload fittizi o semplicemente non decifra le stringhe che contengono la logica malevola.
MITRE ATT&CK cataloga questa tecnica sotto due tattiche complementari, TA0005 (Defense Evasion) e TA0007 (Discovery), perché combina l'obiettivo di sottrarsi al rilevamento con quello di raccogliere informazioni sull'ambiente per orientare le fasi successive. Si colloca tipicamente subito dopo l'Initial Access e prima dell'Execution vera e propria, agendo come gate condizionale che filtra le esecuzioni in laboratori automatizzati.
L'impatto operativo è rilevante: MITRE documenta 3 gruppi APT, 22 famiglie di malware e 1 campagna che impiegano questa tecnica, che è ormai standard nel commodity malware (Agent Tesla, IcedID, RedLine Stealer, Bumblebee) oltre che nelle operazioni mirate. La conseguenza pratica per i difensori è che i verdetti benigni prodotti dalle sandbox tradizionali vanno considerati con sospetto quando riguardano binari sospetti che non mostrano alcun comportamento osservabile.
Per un red team la simulazione di T1497 richiede la costruzione di un dropper che esegua una serie di controlli ambientali prima di detonare il payload reale. La logica classica combina tre famiglie di check: artefatti hardware, presenza di tool di analisi e interazione utente.
Su Windows i controlli hardware più affidabili passano per WMI e registry. La query wmic computersystem get model,manufacturer rivela stringhe come VMware, Inc. o VirtualBox, mentre le chiavi HKLM\HARDWARE\ACPI\DSDT\VBOX__ e HKLM\SYSTEM\ControlSet001\Services\VBoxService sono indicatori diretti. La MAC address dell'interfaccia (prefissi 00:05:69, 00:0C:29, 00:1C:14, 00:50:56 per VMware; 08:00:27 per VirtualBox) è ottenibile con getmac /v. Il numero di core CPU inferiore a 2 e la RAM sotto i 4 GB sono euristiche aggiuntive tipiche di sandbox commerciali.
Per verificare la presenza di tool di analisi il malware enumera i processi con tasklist /v cercando procmon.exe, wireshark.exe, x64dbg.exe, ollydbg.exe, fiddler.exe. Su Linux i controlli tipici sono cat /sys/class/dmi/id/product_name (restituisce VMware Virtual Platform o VirtualBox), lscpu | grep Hypervisor, dmesg | grep -i hypervisor e la lettura di /proc/scsi/scsi per identificare vendor virtuali. Su macOS si usa system_profiler SPHardwareDataType e ioreg -l | grep -e Manufacturer -e Model.
Per il laboratorio red team esistono framework di riferimento. Pafish (open source) di a0rtega implementa una batteria completa di check anti-VM ed è lo standard per benchmarking. al-khaser (open source) estende il set con tecniche anti-debug e anti-DBI. Su Linux VMDE (open source) offre check equivalenti. Per lo sviluppo di payload personalizzati Nim e Rust offrono binding diretti alle API Windows utili per implementare IsDebuggerPresent, CheckRemoteDebuggerPresent e NtQueryInformationProcess con ProcessDebugPort.
Le tecniche di sleep-based evasion sono altrettanto efficaci: Sleep(600000) seguito da un check dell'orologio wall-clock (via GetTickCount) rivela le sandbox che accelerano il tempo. Ekko e Foliage (open source, su GitHub) sono PoC di sleep obfuscation che cifrano il payload in memoria durante l'attesa, tecnica adottata da Cobalt Strike (a pagamento) nella sua funzione sleepmask.
In engagement autorizzati è utile testare la catena end-to-end contro il SIEM del cliente, verificando quali controlli generano telemetria e quali passano silenti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo