目录

1.前言

2.原理讲解

3.代码实现

4.参考

1.前言

利用SetErrorMode进行反沙箱的技术,在2010年就有被提出,但是之前搜了很久都没有相关内容,这里简单的说一下这个反沙箱的实现。反沙箱参考GandCrab5.2。

2.原理讲解

首先讲一下SetErrorMode这个函数,SetErrorMode是用于设置如何处理程序错误的,设置不同的值有不同的作用,下面是机翻的结果。

反沙箱——SetErrorMode-LMLPHP

而SetErrorMode有一个特点就是返回值为上次设置的值,如下代码和结果。

 #include<Windows.h>
#include<stdio.h> int main()
{
DWORD dwCode;
//开始没有设置任何值,所以返回值为0
dwCode = SetErrorMode(SEM_FAILCRITICALERRORS);
printf("the first dwCode:0x%x\n", dwCode); //这里设置值SEM_NOGPFAULTERRORBOX是2,返回值为前面设置的值所以为1
dwCode = SetErrorMode(SEM_NOGPFAULTERRORBOX);
printf("the second dwCode:0x%x\n", dwCode); return ;
}

反沙箱——SetErrorMode-LMLPHP

但是这里有一个特别的参数SEM_NOALIGNMENTFAULTEXCEPT,简单来说就是设置这个值后就不会消除这个值。

反沙箱——SetErrorMode-LMLPHP

 #include<Windows.h>
#include<stdio.h> int main()
{
DWORD dwCode;
//开始没有设置任何值,所以返回值为0
dwCode = SetErrorMode(SEM_NOALIGNMENTFAULTEXCEPT);
printf("the first dwCode:0x%x\n", dwCode); //这里设置为SEM_NOGPFAULTERRORBOX,返回值为上次设置的值为0x4
dwCode = SetErrorMode(SEM_NOGPFAULTERRORBOX);
printf("the second dwCode:0x%x\n", dwCode); //这里设置为SEM_FAILCRITICALERRORS,返回值却不为0x2,这是由于前面设置的SEM_NOALIGNMENTFAULTEXCEPT不会清除,所以叠加0x4+0x2
dwCode = SetErrorMode(SEM_FAILCRITICALERRORS);
printf("the second dwCode:0x%x\n", dwCode); return ;
}

反沙箱——SetErrorMode-LMLPHP

3.代码实现

那上面讲解的内容和反沙箱有什么关系呢?我们先看看cuckoosandbox里的一段代码,沙箱会预先设置值用于监控错误的发生,这里就用到了SetErrorMode并且其中的参数有SEM_NOALIGNMENTFAULTEXCEPT。

反沙箱——SetErrorMode-LMLPHP

由于沙箱和运行的样本类似于进程和之进程的关系,所以利用SetErrorMode才可以检测,如果是同一系统下的两个进程设置了SetErrorMode是不会相互影响的。那么就可以利用这个设置来模拟一下沙箱环境下代码的运行情况,代码和效果如下

 #include<Windows.h>
#include<stdio.h> int main()
{
//模拟沙箱环境设置
SetErrorMode(SEM_FAILCRITICALERRORS | SEM_NOALIGNMENTFAULTEXCEPT | SEM_NOGPFAULTERRORBOX | SEM_NOOPENFILEERRORBOX); DWORD dwCode ;
dwCode = SetErrorMode(0x400); //虽然没有参数的值为0x400,但是这里设置也可以正常运行
//这里返回前面设置的值,0x1+0x2+0x4+0x8000=0x8007
printf("the first dwCode:0x%x\n", dwCode);
dwCode = SetErrorMode(0x0);
//由于之前设置了SEM_NOALIGNMENTFAULTEXCEPT,所以这里返回值为是0x400+0x4=0x404
printf("the second dwCode:0x%x\n", dwCode);
//在沙箱下返回0x404与0x400不相等,所以可以判断是在沙箱下。如果在正常情况下返回0x400
if (dwCode != 0x400)
{
printf("In Sandbox\n");
}
else
{
printf("In normal machine\n");
} return ;
}

反沙箱——SetErrorMode-LMLPHP

4.参考

http://joxeankoret.com/blog/2010/02/23/antiemulation-techniques-malware-tricks-ii/

https://asec.ahnlab.com/1202

05-11 16:15