Unser alter Freund Norman bezeichnet niemand anders, als die Sandbox von norman.no. Sie ist eine virtuelle Maschine, welche eine Verhaltensanalyse von Binaries durchf\u00fchrt.<\/p>\n
Mit anderen Worten, seit dem Nepenthes-Modul submit_norman, einer der gr\u00f6ssten Feinde der Botnet-Kiddies, da durch sie schon viele Botnetze identifiziert wurden.<\/p>\n
<\/p>\n
Nachdem ich einige Samples gefunden habe, welche die Sandbox erkennen, habe ich mich mit dem Thema genauer befasst.<\/p>\n
\n#include <stdio.h>
\n#include <windows.h><\/p>\nvoid main()
\n{
\n MessageBox(NULL, „Hello World“, „My first C program“, MB_OK);
\n}<\/p>\n<\/blockquote>\nDiese Zeilen Code erinnern an die Anf\u00e4nge des Programmierens, der einfachen Hello-World Programme. Mit diesem Code testen wir die Grundfunktionen der Sandbox. Das Ergebnis der Sandbox ist durchaus zufriedenstellend:<\/p>\n
\nTest.exe : Not detected by sandbox (Signature: NO_VIRUS)
\n[ General information ]
\n* Display message box (My first C program) : Hello World
\n* File length: 36864 bytes.<\/p>\n<\/blockquote>\nUnser Programm wird ordnungsgem\u00e4ss analysiert. Ich gehe aufgrund der Informationen davon aus, dass die Sandbox keine normalen Windows DLLs verwendet. Desweiteren ist es beruhigend zu wissen, dass Ausgaben der Programme angezeigt werden. Auf diese Art und Weise kann man den Speicher der Sandbox anzapfen:<\/p>\n
\n#include <stdio.h>
\n#include <windows.h><\/p>\nvoid main()
\n{
\n char szBuffer[512];
\n DWORD dwAddr = (DWORD)GetProcAddress(LoadLibrary(„user32.dll“), „MessageBoxA“);
\n \/\/Get the address of any WINAPI function, we use MessageBoxA() in this example.<\/p>\nmemset(szBuffer, 0, sizeof(szBuffer));
\n _snprintf(szBuffer, sizeof(szBuffer) – 1, „[ 0x%x, 0x%x, 0x%x, 0x%x, 0x%x ]“, *(BYTE*)dwAddr, *(BYTE*)(dwAddr + 1), *(BYTE*)(dwAddr + 2), *(BYTE*)(dwAddr + 3), *(BYTE*)(dwAddr + 4));
\n \/\/Read the first 5 bytes of connect() into the buffer<\/p>\nMessageBox(NULL, szBuffer, „The Title“, MB_OK);
\n \/\/Display the messagebox
\n}<\/p>\n<\/blockquote>\nDas Ergebnis der Sandbox, wie folgt:<\/p>\n
\nTest.exe : Not detected by sandbox (Signature: NO_VIRUS)
\n[ General information ]
\n* Display message box (The Title) : [ 0xc8, 0x0, 0x4, 0x0, 0x60 ].
\n* File length: 40960 bytes.<\/p>\n<\/blockquote>\nDer interessante Teil ist die Speicheradresse, in welcher unsere Messagebox MessageBoxA geladen ist. Vergleichen wir diese mit einem normalen Windows-PC.<\/p>\n
\n„[ 0x8b 0xff 0x55 0x8b 0xec ]“<\/p>\n<\/blockquote>\n
Die beiden Werte sind sehr unterschiedlich und bieten uns eine Art Fingerabdruck anhand dessen wir die Sandbox \u00fcberlisten k\u00f6nnen, wie folgendes Codebeispiel ansatzweise umreisst:<\/p>\n
\n#include <stdio.h>
\n#include <windows.h><\/p>\nvoid main()
\n{
\n unsigned char szBytes[] = { 0xc8, 0x0, 0x4, 0x0, 0x60 };
\n DWORD dwAddr = (DWORD)GetProcAddress(LoadLibrary(„user32.dll“), „MessageBoxA“);<\/p>\nif(!memcmp((LPVOID)dwAddr, (LPVOID)szBytes, sizeof(szBytes)))
\n {
\n MessageBox(NULL, „Hello Norman.“, „Detected.“, MB_OK);
\n ExitProcess(0);
\n \/\/Exit the process cleanly so it stops execution and logging of the file
\n }<\/p>\nMessageBox(NULL, „You will not see that message in the sandbox“, „Hidden.“, MB_OK);
\n}<\/p>\n<\/blockquote>\nDie Sandbox arbeitet unser Script mit folgendem Ergebnis ab:<\/p>\n
\nTest3.exe : Not detected by sandbox (Signature: NO_VIRUS)
\n[ General information ]<\/p>\n* Display message box (Detected.) : Hello Norman.
\n* File length: 36864 bytes.<\/p>\n<\/blockquote>\nLokal ausgeführt hingegen, bekommen wir unsere Messagebox „You will not see that message in the sandbox“ zu sehen. Das Ergebnis dieses kleinen Experiments ist wie folgt: Windows bleibt Windows und eine Sandbox ist eine Sandbox… und alles hat seine Merkmale.<\/p>","protected":false},"excerpt":{"rendered":"
Unser alter Freund Norman bezeichnet niemand anders, als die Sandbox von norman.no. Sie ist eine virtuelle Maschine, welche eine Verhaltensanalyse von Binaries durchf\u00fchrt. Mit anderen Worten, seit dem Nepenthes-Modul submit_norman, einer der gr\u00f6ssten Feinde der Botnet-Kiddies, da durch sie schon viele Botnetze identifiziert wurden.<\/p>\n","protected":false},"author":7,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[231,337,41],"class_list":["post-213","post","type-post","status-publish","format-standard","hentry","category-security","tag-debug","tag-sandbox","tag-windows"],"_links":{"self":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/posts\/213","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/comments?post=213"}],"version-history":[{"count":0,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/posts\/213\/revisions"}],"wp:attachment":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/media?parent=213"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/categories?post=213"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/tags?post=213"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}