T1497: 虚拟化/沙箱规避

摘要

攻击者可能采用各种手段来检测和规避虚拟化和分析环境。这可能包括根据检查是否存在表明虚拟机环境 (VME) 或沙箱的痕迹的结果来改变行为。如果攻击者检测到 VME，他们可能更改其恶意软件以脱离受害者或隐藏植入物的核心功能。他们还可能在释放次要或额外载荷之前搜索 VME 痕迹。攻击者可能利用在自动发现期间从[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)中学到的信息来塑造后续行为。(Citation: Deloitte Environment Awareness) 攻击者可能使用若干方法来实现[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)，例如检查安全监控工具（如 Sysinternals、Wireshark 等）或与分析或虚拟化相关的其他系统痕迹。攻击者还可能检查合法用户活动，以帮助确定是否处于分析环境中。其他方法包括在恶意软件代码中使用睡眠计时器或循环，以避免在临时沙箱内运行。(Citation: Unit 42 Pirpi July 2015)