使用wsb-detect检测你是否在Windows沙盒中

  • A+
所属分类:安全文章

使用wsb-detect检测你是否在Windows沙盒中

wsb-detect概述

wsb-detect可以帮助广大研究人员判断应用程序当前是否在Windows Sandbox(WSB)中运行。众所周知,Windows Defender会使用沙盒来进行动态分析,而且很多安全分析都是需要在沙盒中手动执行的。在2019年底,微软推出了名为Windows Sandbox(简称WSB)的新功能。

Windows Sandbox允许我们在15秒内快速创建一个基于Hyper-V的虚拟机,该虚拟机具有常见虚拟机所具备的所有特性,比如说剪贴板共享和映射目录等。该沙盒也是Microsoft Defender Application Guard(WDAG)的基础,用于在支持Hyper-V的主机上进行动态分析,并且可以在任何Windows 10专业版或企业版计算机上启用。

技术细节

wsb_detect_time

沙盒的镜像似乎是在2019年12月7日(星期六)上午9:14:52制作的,此时正是Windows sandbox向公众发布的时间。此检查交叉引用mountmgr驱动程序上的创建时间戳。

wsb_detect_username

此方法将检查当前用户名是否为WDAGUtilityUserAccount,即沙盒中默认使用的帐户。

wsb_detect_suffix

此方法将使用getAdapterAddresses遍历适配器列表,并将DNS后缀与mshome.net进行比对,而后者是沙盒默认使用的。

wsb_detect_dev

检查是否可以打开原始设备.GLOBALROOTdevicevmsmb,该设备用于通过SMB与主机通信。

wsb_detect_cmd

启动时,在HKEY U LOCAL_MACHINE的RunOnce键下搜索一个命令,该命令将密码设置为永不过期。

wsb_detect_office

检查当前根驱动器中的OfficePackagesForWDAG,该驱动器似乎用于Windows Defender Microsoft Office模拟。

wsb_detect_proc

检查CExecSvc.exe,这是一个容器执行服务,负责处理大量复杂的事情。

wsb_detect_genuine

当涉及到沙盒检测时,这是一种更通用的方法,但是从测试来看,Windows在虚拟机中似乎没有被验证为合法的。

其他

另外,通过检查是否可以创建一个名为WindowsSandboxMutex的互斥体,可以在主机上检测沙盒是否正在运行。这样可以限制每一台主机只能运行一个虚拟机,不过我们可以通过复制句柄并调用ReleaseMutex-viola来释放这个互斥体,以此来获取多个虚拟机实例。

使用wsb-detect检测你是否在Windows沙盒中

wsb-detect下载

广大研究人员可以使用下列命令将该工具源码克隆至本地,随后可以在我们的代码中直接调用:

git clone https://github.com/LloydLabs/wsb-detect.git

wsb-detect使用

detect.h这个头文件可以导出wsb-detect的所有检测功能函数:

#include <stdio.h>
#include "detect.h"
int main(int argc, char** argv){
// example vmsmb & username check
if (wsb_detect_dev() || wsb_detect_username())
{
puts("We're in Windows Sandbox!");
return 0;
}
return 1;
}

项目地址

wsb-detect:https://github.com/LloydLabs/wsb-detect

使用wsb-detect检测你是否在Windows沙盒中

精彩推荐





使用wsb-detect检测你是否在Windows沙盒中
使用wsb-detect检测你是否在Windows沙盒中使用wsb-detect检测你是否在Windows沙盒中

使用wsb-detect检测你是否在Windows沙盒中使用wsb-detect检测你是否在Windows沙盒中使用wsb-detect检测你是否在Windows沙盒中

使用wsb-detect检测你是否在Windows沙盒中

本文始发于微信公众号(FreeBuf):使用wsb-detect检测你是否在Windows沙盒中

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: