孙 增， 施 勇， 薛 质

（上海交通大学信息安全工程学院，上海 200240）

基于沙箱回避的 APT 研究*

孙 增， 施 勇， 薛 质

（上海交通大学信息安全工程学院，上海 200240）

通过对日益复杂化的 APT(Advanced Persistent Threat，高级持续性威胁） 生命周期中危险阶段的认识，简要介绍 APT检测手段的演变过程，详细分析新型 APT 利用技术手段逃避沙箱检测的细节。 针对现有的 APT 沙箱检测不足以应对这种新型 APT 的问题，从 APT 逃避沙箱的方式角度出发，有针对地提出新型沙箱检测技术策略。 对于未来不断进化的 APT，可能会出现许多新的伎俩，探索建立统一的大数据分析跟踪网络或许是尽早发现 APT 的有效途径。

APT;危险阶段;检测手段;沙箱回避;人机交互;特殊设置

0 引言

随着 APT(Advanced Persistent Threat，高级持续性威胁） 发生事件的日益增多，人们已经认识到已知的 APT 攻击的许多攻击细节，以及常见的攻击步骤。 不同的安全厂商和安全机构从各自的特长出发提出多种检测 APT 的策略，方法和工具。 目前利用沙箱检测恶意代码的行为已经成为 APT 检测的主流手段。 同时，APT 的进化还在持续，利用新技术逃避沙箱检测的 APT 案例经常出现。 因此，需要分析这些逃避沙箱的技术，找出现有 APT检测沙箱的不足，提出有针对的改进措施。

沙箱检测技术是一种应对 APT 通过零日漏洞发动攻击的有效方式。 利用沙箱接管调用接口或函数行为，通过重定向技术把程序生成和修改的文件定向到自身的文件夹中，并会在确认病毒行为后实行“回滚”机制让系统复原。 通常使用沙箱检测技术模拟一系列应用程序行为和网络行为所产生的后果，再通过大数据分析来判定其是不是 APT攻击。……