Caja de arena inversa

Tal vez estés hablando de Jail (freeBSD). O Chroot (OpenBSD)

Hay una versión portada de Jail / Chroot para Windows llamada winjail

Utilicé Chroot para analizar dinámicamente el código de Malware muestra . Necesitaba entradas de evidencia, rastreo y registro para enviar algunas pruebas de concepto o firmas personalizadas.

• Lo cierto es que estaba 100% seguro de cuál sería el impacto de esas líneas maliciosas en el sistema, a través de un análisis estático anterior.

• Nunca ejecute un Malware completo (archivo PE o programa compilado / empaquetado) fuera de un entorno aislado completo.

• No recomendaré utilizar Jail para el análisis de muestra de malware hasta que esté 100% seguro de lo que está haciendo, 95% está no es suficiente .

En el caso de que no logré convencerte y todavía quieras ejecutar cosas maliciosas fuera de un arenero:

• tome una instantánea (incluye el volcado de RAM), guárdelo en un dispositivo externo.

• Eliminar el dispositivo externo.

• Físicamente aísla la computadora (el aislamiento del software no es suficiente) & desenchufe todos los dispositivos USB si puede.

• Haz tus cosas.

• Restaure la instantánea una vez que haya terminado.

Está describiendo tanto el sandboxing como el análisis forense.

Lo más cerca que vas a llegar a una solución es usar algo como Cuckoo. Suministra una imagen virtual de su computadora tal como está (utilizando una herramienta como VMWare vCenter Converter), ofreciéndose una réplica virtual de su entorno operativo, luego detona su carga útil de malware / aplicación cuestionable y Cuckoo enlaza todas las API de Windows La red llama y te dice todo lo que el malware intentó hacer.