Un campione analizzato staticamente nell’articolo precedente ha superato ogni controllo senza rivelare granché: stringhe cifrate, import table poco significativa, entropia alta tipica di un packer. L’unico modo per sapere davvero cosa fa è vederlo agire. Farlo sul proprio computer di lavoro sarebbe, ovviamente, l’errore più costoso possibile in un’indagine.
Questo articolo copre come si costruisce ed usa un ambiente di analisi dinamica sicuro, e cosa osservare mentre un campione è in esecuzione.
Cos’è una sandbox, e perché non basta una macchina virtuale qualsiasi
Una sandbox per malware analysis è un ambiente isolato, tipicamente una macchina virtuale, configurato specificamente per:
- Non avere accesso reale a internet, ma solo a una rete simulata che risponde alle richieste del malware facendogli credere di essere online (tramite strumenti come INetSim o FakeNet-NG), permettendo di osservare a chi il malware prova a connettersi senza dargli davvero quella connessione
- Essere facilmente ripristinabile a uno stato pulito (snapshot) dopo ogni analisi, perché una volta eseguito, un malware ha compromesso quell’ambiente e non va mai riutilizzato senza un ripristino completo
- Essere isolata a livello di rete anche dalla rete interna dell’analista, non solo da internet, per evitare movimenti laterali accidentali verso altri sistemi durante l’analisi
Process Monitor: vedere ogni chiamata al sistema
Process Monitor (Sysinternals) registra in tempo reale ogni operazione su file, Registro e rete effettuata da un processo, con un livello di dettaglio molto più fine di quanto visibile tramite ps o Task Manager:
Filtro tipico durante l'analisi:
Process Name is campione_sospetto.exe
Colonne rilevanti da osservare:
- Operation (RegSetValue, WriteFile, Process Create...)
- Path (quale chiave del Registro o quale file viene toccato)
- Result (SUCCESS o accesso negato)
Un pattern tipico da cercare è la sequenza: creazione di un file in una cartella temporanea, scrittura di una chiave Run nel Registro per la persistenza (esattamente le chiavi viste nell’articolo sul Registry Forensics), e infine un tentativo di connessione di rete in uscita. Vedere questa sequenza dal vivo conferma comportamenti che l’analisi statica poteva solo ipotizzare dagli import sospetti.
Process Hacker / Process Explorer: l’albero dei processi in tempo reale
Un malware spesso lancia processi figli, si inietta in processi legittimi già in esecuzione, o termina se stesso lasciando solo il processo iniettato attivo. Uno strumento come Process Hacker mostra l’intero albero dei processi con relazioni padre-figlio, permettendo di individuare pattern sospetti come un processo Word.exe che genera inaspettatamente un processo powershell.exe, la stessa firma di attacco già vista nell’articolo sulla memory forensics a proposito di windows.pstree.
Traffico di rete: cosa prova a raggiungere
Con Wireshark in ascolto sull’interfaccia della sandbox durante l’esecuzione del campione (la stessa competenza già vista nell’articolo sulla network forensics, applicata qui a un ambiente controllato invece che a un pcap storico), si osservano:
- Richieste DNS verso domini di comando e controllo, spesso generati algoritmicamente (Domain Generation Algorithm) e quindi con nomi privi di senso apparente
- Tentativi di connessione HTTP/HTTPS in uscita, il cui contenuto (se non cifrato) può rivelare il protocollo usato dal malware per comunicare con il proprio server di comando e controllo
- Beaconing periodico: connessioni ripetute a intervalli regolari verso lo stesso host, tipiche di un malware che “chiama casa” per ricevere istruzioni
Sandbox evasion: quando il malware si accorge di essere osservato
Malware più sofisticati includono controlli specifici per rilevare se sono in esecuzione dentro una sandbox o una macchina virtuale, e in tal caso si comportano in modo innocuo o si terminano, per non rivelare il proprio comportamento reale a chi li analizza:
Controlli comuni di evasion:
- Verifica di driver o processi tipici di VMware/VirtualBox
- Controllo del numero di core CPU o della RAM disponibile (spesso ridotti in una VM)
- Attesa di un tempo prolungato prima di attivarsi, sperando che l'analisi automatica finisca prima
- Verifica della presenza di un mouse in movimento o di un'interazione umana reale
Contromisure pratiche includono configurare la sandbox con risorse hardware realistiche, simulare movimento del mouse e attività utente, e mascherare gli artefatti più evidenti della virtualizzazione. Nessuna sandbox è perfettamente indistinguibile da una macchina reale, ma più si avvicina a esserlo, più comportamenti reali riesce a far emergere.
Sandbox automatiche online: un punto di partenza, non l’analisi finale
Servizi come Any.Run o Hybrid Analysis eseguono automaticamente un campione caricato e restituiscono un report con processi generati, connessioni di rete e modifiche al sistema, spesso in pochi minuti. Sono utilissimi come primo screening rapido, ma vanno usati con cautela quando il campione potrebbe contenere dati sensibili dell’organizzazione (viene caricato su un servizio terzo) e non sostituiscono un’analisi manuale approfondita quando il caso lo richiede davvero.
Checklist essenziale
✅ Sandbox isolata, con rete simulata (INetSim/FakeNet-NG), mai internet reale
✅ Snapshot pulito ripristinato prima di ogni nuova analisi
✅ Process Monitor filtrato sul processo del campione
✅ Albero dei processi controllato per injection o processi figli sospetti
✅ Wireshark attivo durante l'esecuzione per catturare DNS e traffico in uscita
✅ Consapevolezza dei limiti: un malware evasivo potrebbe non rivelarsi in sandbox
Conclusione
L’analisi dinamica completa quello che l’analisi statica non può vedere: il comportamento reale di un malware, osservato in sicurezza dentro un ambiente che non gli permette mai di fare danni veri. Nessuna delle due tecniche sostituisce l’altra: insieme, statica e dinamica, danno il quadro più completo possibile prima ancora di dover toccare un sistema realmente compromesso.
Il prossimo articolo lascia i sistemi desktop e server per guardare a un terreno diverso e sempre più centrale in un’indagine moderna: i dispositivi mobili.