L'analyse dynamique en sandbox

Une sandbox (bac à sable) est une machine isolée et instrumentée (presque toujours une machine virtuelle) dans laquelle on exécute volontairement un fichier suspect pour enregistrer tout ce qu'il fait : processus lancés, fichiers écrits, clés de registre modifiées, connexions réseau. À la fin de l'exécution, la machine est restaurée à partir d'un instantané sain.

C'est l'analyse dynamique : observer le comportement à l'exécution. Elle complète l'analyse statique, qui examine le fichier sans l'exécuter. Pour un analyste SOC ou CTI, la sandbox est le moyen le plus rapide de répondre à la question « que fait cette pièce jointe, et quels IOC puis-je rechercher ? » en quelques minutes, sans être rétro-ingénieur.

Une sandbox s'accroche au système d'exploitation (surveillance des API, pilote noyau ou introspection depuis l'hyperviseur) et capture le trafic réseau qui sort de la VM. Une exécution type dure de 2 à 5 minutes et produit :

Ne vous arrêtez pas au score. Un score agrège des signatures, dont certaines sont faibles ; votre travail est de reconstituer l'histoire et d'en extraire ce qui est exploitable. Voici les extraits clés de l'exécution d'un Facture_4471.docm (fictif) :

PROCESS TREE
WINWORD.EXE (2148)  "C:\Users\admin\Desktop\Facture_4471.docm"
 └─ powershell.exe (3312)  -nop -w hidden -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBi...
     └─ rundll32.exe (4020)  C:\Users\admin\AppData\Local\Temp\upd.dll,Start

NETWORK
DNS   cdn-update.example            A  203.0.113.45
HTTPS 203.0.113.45:443  SNI=cdn-update.example  GET /s2/upd.dll   (216 KB)
HTTPS 203.0.113.45:443  POST /api/v1/beacon  every ~60 s

FILES
created  C:\Users\admin\AppData\Local\Temp\upd.dll
         SHA-256 fb18cd2a74c578b056a81a207cfe4b93d412c707c7f6751c0d4ea32219da4bf2

REGISTRY
set  HKCU\Software\Microsoft\Windows\CurrentVersion\Run\OneDriveUpdate
     = "rundll32.exe C:\Users\admin\AppData\Local\Temp\upd.dll,Start"

SIGNATURES
[high]   Office application spawns a script interpreter
[high]   PowerShell with encoded command line
[medium] Persistence via Run registry key
[medium] Queries keyboard layout          (T1614.001)
[low]    Checks for VirtualBox registry keys (T1497.001)

Cette exécution se mappe proprement sur ATT&CK : T1204.002, T1059.001, T1027.010, T1105, T1218.011, T1547.001, T1071.001. La méthode complète est détaillée dans Comprendre MITRE ATT&CK.

Les auteurs de malwares savent que leurs échantillons finiront en sandbox. Beaucoup vérifient donc d'abord leur environnement et ne font rien (ou quelque chose d'anodin) s'il ressemble à une machine d'analyse. ATT&CK suit ces comportements principalement sous T1497 Virtualization/Sandbox Evasion, T1622 Debugger Evasion et T1480 Execution Guardrails.

Quelques options très utilisées, chacune avec ses compromis. Vérifiez les conditions actuelles de chaque fournisseur : les offres gratuites et les règles de visibilité évoluent.

Un rapport de sandbox est une matière première. Transformez-le en protections pour tout le parc, du niveau le plus fragile au plus durable de la pyramide de la douleur :

Par exemple, une première règle YARA construite à partir de cette exécution :

rule LedgerLoader_Stage2_Training
{
    meta:
        description = "Second stage LedgerLoader vu en sandbox (exemple de formation)"
        author = "mlab Academy"
        date = "2026-10-21"
        hash = "fb18cd2a74c578b056a81a207cfe4b93d412c707c7f6751c0d4ea32219da4bf2"
    strings:
        $persist = "OneDriveUpdate" ascii wide
        $uri     = "/api/v1/beacon" ascii
        $stage   = "/s2/upd.dll" ascii
    condition:
        uint16(0) == 0x5A4D and filesize < 500KB and 2 of them
}