Phần mềm độc hại có khả năng né tránh ngày càng được thiết kế để phát hiện và vượt qua các môi trường sandbox truyền thống, khiến các đội ngũ an ninh phải đối mặt với những kết luận mà họ không thể hoàn toàn tin tưởng. Một lỗ hổng nghiêm trọng trong vm2, một thư viện sandbox Node.js được sử dụng rộng rãi, gần đây đã phơi bày một rủi ro vượt xa phạm vi của một phần mềm đơn lẻ. Được theo dõi dưới mã CVE-2026-22709 với điểm CVSS tối đa là 10,0, lỗ hổng này xuất phát từ việc xử lý prototype Promise không được làm sạch callback đầy đủ. Kẻ tấn công có thể thoát hoàn toàn khỏi sandbox và thực thi các lệnh tùy ý trên hệ thống máy chủ cơ sở.
Lỗ hổng này là lời nhắc nhở rằng mức độ an toàn của cơ chế cách ly phụ thuộc hoàn toàn vào kiến trúc mà nó được xây dựng trên đó. Những kẻ tấn công đã nhận ra điều này từ lâu, và đó là lý do tại sao phần lớn các mối đe dọa có khả năng lẩn tránh hiện nay đều được thiết kế để thăm dò môi trường xung quanh trước khi thực hiện bất kỳ hành động đáng ngờ nào. Chúng kiểm tra các dấu vết của máy ảo (VM), trì hoãn quá trình thực thi, phân tích vị trí địa lý hoặc chờ đợi các tương tác cụ thể từ người dùng, tất cả nhằm mục đích kích hoạt kết quả kiểm tra an toàn trước khi tiếp cận mục tiêu thực sự.
Câu hỏi đặt ra là liệu môi trường thử nghiệm của bạn có thể buộc chúng phải lộ bài hay không. Trong bài viết này, chúng tôi sẽ phân tích chi tiết cơ chế hoạt động của việc lách qua môi trường thử nghiệm, lý do tại sao các phương pháp truyền thống đang gặp khó khăn trong việc theo kịp xu hướng, và cách thức mô phỏng cấp lệnh mang lại một hướng đi đáng tin cậy hơn.
Cách phần mềm độc hại phát hiện Sandbox
Các đội ngũ an ninh doanh nghiệp phải xử lý một lượng dữ liệu khổng lồ mỗi ngày, từ tệp đính kèm email và bản cập nhật bản vá đến các dịch vụ truyền tệp được quản lý và tích hợp với các nền tảng bên thứ ba. Các tệp độc hại ngày càng được thiết kế để trông giống hệt các tệp hợp pháp, đủ lâu để gây ra hậu quả nghiêm trọng.
Phần mềm độc hại lẩn tránh được thiết kế để hoạt động bình thường trong các môi trường phân tích tự động và chỉ bộc lộ mục đích thực sự của mình khi xâm nhập vào thiết bị đầu cuối thực tế. Các kỹ thuật phổ biến bao gồm:
- Chức năng chống VM sẽ kiểm tra các thành phần của máy ảo, trình gỡ lỗi hoặc các khóa đăng ký liên quan đến môi trường sandbox trước khi thực thi bất kỳ mã độc hại nào
- Sự chậm trễ trong quá trình thực thi do các chu kỳ ngủ dài và các vòng lặp thực thi chậm trễ kéo dài hơn thời gian phân tích thông thường của môi trường sandbox
- Việc kiểm tra cài đặt vùng ngôn ngữ, vốn điều kiện hóa việc truyền tải dữ liệu dựa trên kết quả kiểm tra cài đặt vùng ngôn ngữ hoặc cấu hình hệ thống, thường không tồn tại trong môi trường phân tích
- Đóng gói che giấu hoặc che giấu các gói dữ liệu nhiều giai đoạn để giai đoạn đầu tiên trông có vẻ vô hại và hành vi độc hại chỉ bộc lộ sau đó
Các đội ngũ bảo mật không thể kiểm tra thủ công từng tệp bị đánh dấu, do đó các kết luận tự động sẽ dẫn đến các quyết định tự động: chặn hoặc cho phép, cách ly hoặc giải phóng, chuyển lên cấp trên hoặc loại bỏ. Khi một môi trường thử nghiệm (sandbox) bị đánh lừa, nó không chỉ bỏ sót một mối đe dọa. Nó còn đưa ra một kết luận an toàn mà toàn bộ quy trình xử lý sau đó đều tin tưởng. Sự tin tưởng sai lầm đó thường nguy hiểm hơn chính lỗ hổng trong khả năng phát hiện.
Các môi trường cách ly dựa trên máy ảo đang dần mất thế trước các kỹ thuật né tránh tinh vi
Các môi trường cách ly dựa trên máy ảo (VM) sẽ kích hoạt các tệp đáng ngờ trong một môi trường độc lập theo dõi diễn biến. Tuy nhiên, theo nhiều báo cáo, phần mềm độc hại tiên tiến có khả năng nhận diện các môi trường này và tạm hoãn các hành vi độc hại cho đến khi tiếp cận được mục tiêu thực sự.
Các môi trường ảo hóa dựa trên máy ảo (VM) có những hạn chế về mặt cấu trúc, ảnh hưởng đến tốc độ, khả năng mở rộng và bảo mật:
- Các biện pháp kiểm tra chống ảo hóa, kỹ thuật chống gỡ lỗi và các cơ chế trì hoãn theo thời gian có thể giúp phần mềm độc hại duy trì trạng thái ẩn trong suốt quá trình phân tích
- Việc khởi động và tắt máy ảo gây ra tình trạng tắc nghẽn trong các quy trình xử lý tệp có khối lượng lớn
- Khi một môi trường sandbox phụ thuộc vào một runtime chung hoặc một môi trường ảo có thể nhận diện được, nó sẽ kế thừa mọi lỗ hổng mà môi trường đó mang lại, như vụ việc vm2 đã minh họa rõ ràng
Một tình huống Supply Chain trong thực tế
Hãy tưởng tượng một bản cập nhật firmware định kỳ được gửi đến qua cổng thông tin của một nhà cung cấp đáng tin cậy. Bản cập nhật này vượt qua nhiều vòng quét, hoàn tất quá trình kiểm tra trong môi trường sandbox mà không phát hiện hành vi đáng ngờ nào, và được phê duyệt để triển khai trên các hệ thống công nghệ vận hành. Điều mà môi trường sandbox không phát hiện ra là một trình tải ẩn nằm bên trong gói cài đặt; trình tải này đã kiểm tra sự hiện diện của các thành phần máy ảo, phát hiện ra chúng, nhưng lại không thực hiện bất kỳ hành động nào trong quá trình phân tích. Tuy nhiên, trên hệ thống thực tế, nó sẽ được thực thi.
Đây không phải là kịch bản tồi tệ nhất. Điều này chỉ phản ánh cách thức hoạt động của một loại hình ngày càng gia tăng các cuộc tấn công vào chuỗi cung ứng và hệ thống phòng thủ ngoại vi, bằng cách khai thác khoảng cách giữa những gì môi trường thử nghiệm (sandbox) quan sát được và những gì thực sự diễn ra trên thiết bị đầu cuối mục tiêu. Để thu hẹp khoảng cách đó, cần phải có một phương pháp phân tích tệp hoàn toàn khác biệt.
Kỹ thuật cách ly dựa trên mô phỏng buộc phần mềm độc hại phải lộ diện
Mô phỏng cấp lệnh giải quyết vấn đề cốt lõi bằng cách loại bỏ hoàn toàn môi trường có thể nhận diện được. Thay vì chạy một tệp đáng ngờ trong máy ảo mà phần mềm độc hại có thể nhận diện dấu vết, phương pháp này mô phỏng quá trình thực thi của CPU và hệ điều hành ở cấp lệnh. Các cơ chế phát hiện chống máy ảo không tìm thấy yếu tố nào để kích hoạt. Thời gian trì hoãn hết hạn. Và phần mềm độc hại, khi không còn lý do để ở trạng thái ngủ đông, sẽ thực thi toàn bộ mã độc của mình ngay dưới sự giám sát.
Đây là nguyên lý hoạt động OPSWATAdaptive Sandbox của OPSWAT. Công nghệ này hoạt động ở mức độ thấp hơn so với mức độ mà các kỹ thuật lẩn tránh hoạt động, vượt qua chúng nhờ thiết kế chứ không phải nhờ cấu hình.
Môi trường cách ly VM truyền thống so vớiSandbox Adaptive
| Sandbox | Sandbox dựa trên máy ảo truyền thống | Adaptive Sandbox
|
|---|---|---|
| Khả năng chống né tránh của Anti-VM | Hạn chế – có thể bị phần mềm độc hại phát hiện | Các nỗ lực né tránh bị vô hiệu hóa ngay từ cấp độ lệnh |
| Thông qua | Bị tắc nghẽn do quá trình khởi động và dọn dẹp máy ảo | Hơn 25.000 lượt phân tích mỗi ngày trên mỗi máy chủ |
| Phát hiện tải trọng nhiều giai đoạn | Các giai đoạn một phần – né tránh có thể không kích hoạt | Luôn thực thi đầy đủ bất kể điều kiện nào |
| Tính linh hoạt trong triển khai | Thông thường là trên đám mây hoặc tại chỗ | Cloud, tại chỗ, kết hợp và cách ly hoàn toàn |
| Rủi ro liên quan đến diện tích tấn công chung | Kế thừa từ môi trường chạy của máy chủ hoặc lớp máy ảo | Bị loại bỏ do sự tách biệt về mặt kiến trúc |
| Độ sâu khai thác IOC | Phụ thuộc vào hành vi có thể quan sát được | Hơn 900 chỉ số hành vi, trích xuất IOC chuyên sâu |
Theo kết quả đánh giá hiệu năng của Filescan.io, phương pháp này mang lại số lượng kết quả chẩn đoán có độ tin cậy cao nhiều hơn 48% và số lượng chỉ số IOC nhiều hơn 224% mỗi ngày so với các phương pháp hộp cát truyền thống. Con số này phản ánh trực tiếp mức độ hành vi độc hại trước đây đã không được phát hiện.
Do động cơ này có trọng lượng nhẹ và hoạt động theo quy luật xác định, nó có thể được triển khai trực tiếp thay vì chỉ dành riêng cho việc phân tích sau sự cố. Điều này khiến nó trở nên phù hợp để áp dụng tại các cổng email, các quy trình tải lên web và các luồng công việc chuyển tệp được quản lý — những nơi mà các môi trường thử nghiệm dựa trên máy ảo (VM) truyền thống tiêu tốn quá nhiều tài nguyên để có thể hoạt động theo thời gian thực.
Từ việc gửi tệp đến thông tin có giá trị thực tiễn
Hệ thống Adaptive Sandbox qua ba giai đoạn có cấu trúc, được thiết kế để dần dần làm sáng tỏ những gì mà một tệp tin đang che giấu. Ở mỗi bước, hệ thống này xử lý các kỹ thuật né tránh mà phương pháp phân tích một lần sẽ bỏ sót:
- Phân tích cấu trúc sâu thực hiện kiểm tra tĩnh trên hơn 120 loại tệp, trích xuất nội dung nhúng, tập lệnh, macro và mã vỏ trước khi quá trình thực thi động bắt đầu.
- Phân tíchAdaptive mô phỏng hành vi của CPU, hệ điều hành và ứng dụng để kích hoạt các đường dẫn thực thi, vượt qua các cơ chế kiểm tra chống phân tích và phơi bày các tải trọng đa giai đoạn ẩn.
- Quá trình trích xuất và báo cáo của IOC tạo ra kết quả có cấu trúc bao gồm các chỉ số hành vi, dữ liệu mạng và thông tin cấu hình để xuất sang các quy trình làm việc của SIEM, SOAR, MISP và STIX.
Nâng cao khả năng phát hiện lỗ hổng zero-day bằng côngAdaptive
Adaptive là một trong bốn lớp phát hiện tích hợp trong MetaDefender , giải pháp phát hiện lỗ hổng zero-day thống nhất OPSWAT. Mặc dù công nghệ Sandboxing có thể cung cấp những thông tin quan trọng về hành vi của tệp tin, nhưng sự xuất hiện của các phần mềm độc hại có khả năng lẩn tránh đã cho thấy rõ rằng không có công nghệ nào có thể đảm bảo hiệu quả một mình.
MetaDefender được xây dựng dựa trên thực tế đó, kết hợp bốn lớp bảo vệ, mỗi lớp đều giải quyết một điểm mù mà các lớp khác không thể bao quát đầy đủ khi hoạt động độc lập. Kết quả là mỗi tệp đều nhận được một kết quả đánh giá đáng tin cậy duy nhất, giúp đạt hiệu quả phát hiện lỗ hổng zero-day lên đến 99,9% mà không làm chậm luồng xử lý tệp – yếu tố then chốt đối với các quy trình làm việc của doanh nghiệp.
Quy trình phát hiện lỗ hổng zero-day bốn tầng
| Lớp | Chức năng |
|---|---|
| Danh tiếng mối đe dọa | So sánh chéo hơn 50 tỷ giá trị băm, địa chỉ IP và tên miền để xác định nguồn gốc của các mối đe dọa đã biết |
| Adaptive | Mô phỏng quá trình thực thi để phát hiện các hành vi ẩn và các tải trọng đa giai đoạn, đồng thời gửi các chỉ số IOC mới phát hiện đến công cụ Đánh giá Mức độ Đe dọa |
| Điểm số đe dọa | Tích hợp kết quả từ môi trường thử nghiệm, dữ liệu về uy tín và các chỉ số hành vi thành một điểm số rủi ro duy nhất |
| Tìm kiếm dựa trên độ tương đồng ML | Xác định các biến thể phần mềm độc hại, mối liên hệ giữa các chiến dịch và cơ sở hạ tầng chung |
Từ Sandbox đến phát hiện trước khi thực thi dựa trên trí tuệ nhân tạo
Mỗi phát hiện lỗ hổng zero-day được xác nhận trong môi trường sandbox bên trong MetaDefender đều được đưa vào quy trình huấn luyện cho Predictive Alin AI – một công cụ phát hiện lỗ hổng zero-day trước khi thực thi, có khả năng dự đoán ý đồ độc hại trước khi mã độc được kích hoạt. Mỗi mối đe dọa được xác nhận đều giúp tăng cường khả năng của mô hình trong việc phát hiện sớm mối đe dọa tiếp theo, trước khi tệp tin đó có thể tiến vào giai đoạn sandbox.
Điều này tạo ra một vòng phản hồi liên tục giữa phân tích hành vi sâu và phát hiện dự đoán trước khi thực thi. Môi trường thử nghiệm (sandbox) giúp phát hiện những điểm mà các dấu hiệu nhận diện bỏ sót, và những phát hiện này được sử dụng để huấn luyện mô hình dự đoán, từ đó chặn đứng các mối đe dọa thế hệ mới ngay tại biên giới mạng.
Nâng cao khả năng phát hiện các mối đe dọa khó phát hiện
Các môi trường cách ly dựa trên máy ảo (VM) truyền thống được phát triển để đối phó với một bối cảnh mối đe dọa đã không còn tồn tại. Chúng có thể bị nhận diện, làm chậm lại và vượt qua bởi các phần mềm độc hại được thiết kế riêng để tránh bị phát hiện trong quá trình phân tích.
Việc mô phỏng ở cấp độ lệnh đã thay đổi hoàn toàn cục diện. Bằng cách hoạt động ở cấp độ thấp hơn mức mà các kỹ thuật né tránh có thể phát huy tác dụng, Adaptive Sandbox phần mềm độc hại phải thực thi toàn bộ và đưa các phát hiện đã được xác nhận vào một quy trình phát hiện ngày càng chính xác hơn theo thời gian. Bởi vì khi nói đến các mối đe dọa dựa trên tệp, cách thức bạn triển khai sandbox quan trọng không kém gì việc bạn có triển khai sandbox hay không.
Nếu tổ chức của bạn phải xử lý các luồng tệp có rủi ro cao và cần khả năng kiểm tra sâu để theo kịp các kỹ thuật lách luật tinh vi, hãy trao đổi với OPSWAT để tìm hiểu cách thức mô phỏng cấp lệnh MetaDefender có thể giúp củng cố khả năng bảo mật của tổ chức bạn.
Hỏi đáp
Lỗ hổng thoát khỏi vùng cát là gì?
Sự cố thoát khỏi vùng cách ly (sandbox escape) xảy ra khi mã độc xâm nhập ra khỏi môi trường thực thi cách ly của nó và chạy trên hệ thống chủ cơ sở. Lỗ hổng vm2 (CVE-2026-22709) là một ví dụ gần đây, cho thấy các vùng cách ly được xây dựng trên các môi trường chạy chung có thể kế thừa những điểm yếu của các môi trường mà chúng phụ thuộc vào.
Phần mềm độc hại có khả năng né tránh phát hiện máy ảo như thế nào?
Phần mềm độc hại có khả năng né tránh sẽ quét môi trường xung quanh để tìm kiếm các dấu vết của máy ảo (VM), chẳng hạn như các khóa đăng ký cụ thể, dấu vết gỡ lỗi, mã nhận dạng phần cứng, các bất thường về thời gian và các chỉ số khác thường liên quan đến môi trường sandbox. Khi các chỉ số này xuất hiện, phần mềm độc hại có thể ẩn giấu hoặc trì hoãn hành vi độc hại của mình, khiến sandbox đưa ra kết luận an toàn mà các quy trình bảo mật tiếp theo có thể tin tưởng.
Mô phỏng cấp lệnh trong phân tích phần mềm độc hại là gì?
Mô phỏng cấp lệnh mô phỏng hành vi của CPU và hệ điều hành ở mức độ thấp hơn nhiều so với phương pháp cách ly dựa trên máy ảo truyền thống. Bằng cách loại bỏ nhiều dấu vết mà phần mềm độc hại thường sử dụng để phát hiện môi trường phân tích ảo hóa, phương pháp này có thể làm lộ ra những hành vi vốn dĩ sẽ nằm im lìm và nâng cao khả năng theo dõi quá trình thực thi các tải trọng ẩn.
Sandbox thích ứng khác với sandbox truyền thống dựa trên máy ảo như thế nào?
Các hộp cát truyền thống dựa trên máy ảo (VM) thực thi các tệp tin trong môi trường ảo hóa, điều mà phần mềm độc hại hiện đại thường có thể nhận diện và lách qua. Adaptive sử dụng mô phỏng cấp lệnh để phân tích các đường dẫn thực thi ở cấp độ thấp hơn, giúp phát hiện các cơ chế kiểm tra chống máy ảo, các khoảng trễ thời gian và hành vi đa giai đoạn mà phân tích dựa trên máy ảo truyền thống có thể bỏ sót.
MetaDefender phân tích những định dạng tệp nào?
MetaDefender hỗ trợ phân tích hơn 50 định dạng tệp, bao gồm tệp thực thi, tệp kịch bản, tệp lưu trữ, tệp cài đặt và tệp bản vá. Khả năng bao quát rộng rãi này giúp sản phẩm đặc biệt phù hợp với các môi trường cần kiểm tra chi tiết các tệp như gói phần mềm, tệp đính kèm email, cũng như các bản cập nhật liên quan đến hoạt động vận hành hoặc chuỗi cung ứng.
