**Песочница не панацея: как вредоносы распознают анализ и прячут активность**
**Песочница не панацея: как вредоносы распознают анализ и прячут активность** Песочница запускает подозрительный файл в изолированной среде и смотрит на поведение. Но вредонос может просто понять, что он в виртуалке, и не показать ничего опасного. Чистый отчёт — не гарантия безопасности. Песочница сочетает сигнатурный, статический, динамический и поведенческий анализ. Файл запускают в контролируемой среде, следят за изменениями, связывают события в сценарий. Проблема в том, что многие образцы не взламывают песочницу напрямую, а уклоняются от анализа: проверяют окружение и решают, стоит ли раскрывать вредоносную логику. В MITRE ATT&CK это техника T1497 — Virtualization/Sandbox Evasion. В отчёте Picus Red Report 2026 она вернулась в топ-5 самых распространённых и заняла 4-е место после двух лет отсутствия в первой десятке. Атакующие снова делают ставку на скрытность. Как именно палят песочницу: — **Файлы, каталоги, реестр.** Ищут следы VMware, VirtualBox, Hyper-V, QEMU: драйверы, службы, ключи. Если совпадений слишком много — вредоносная часть не запускается. — **Параметры системы.** Сравнивают объём RAM, число ядер, размер диска, разрешение экрана, имя компьютера, длительность работы. Пустой профиль, учётка `test` или `sandbox`, малый диск — тревожные сигналы. — **Аппаратные признаки.** Проверяют BIOS, производителя диска, ID сетевого адаптера, наличие аудиоустройства. Виртуалка часто выглядит слишком искусственно. — **Сеть.** Если IP принадлежит исследовательской инфраструктуре или вендору защиты, программа может не выходить на C2. Либо сервер сам решает, выдавать ли следующую стадию, и при подозрении отдаёт пустышку. — **Время.** Простейший приём — «сон» дольше стандартного анализа. Более хитрые проверяют системное время, аптайм, реакцию на ускорение часов. GootLoader, например, активно использует длительные паузы. — **Активность пользователя.** Смотрят, двигалась ли мышь, были ли клики, прокрутка. LummaC2 с v4.0 анализировал траекторию курсора через тригонометрию и искал слишком ровные или резкие движения. Документы могут ждать прокрутки или нажатия на спрятанную кнопку. Свежий пример — Blitz (Unit 42, 2025). Проверял число процессоров, низкие разрешения, драйвер ANY.RUN и ключи реестра песочниц. Если окружение казалось анализным — завершал работу. Почему песочница ошибается: вердикт «угроз не найдено» означает лишь, что в данных условиях опасное поведение не проявилось. Файл мог не получить команду с сервера или ждать действия пользователя. Слабые места — анализ копий после доставки, отсутствие расшифровки трафика, одинаковая среда годами. 🛠 Мнение DevGeek.IT: Песочница — не магический фильтр, а инструмент. Если она выглядит как песочница, вредонос это заметит. Реалистичные профили, разнообразие конфигураций, поведенческий анализ и интеграция с EDR/почтой/сетью — вот что работает. Чистый отчёт — не индульгенция, а лишь один из сигналов.