随着网络攻击手段的不断升级，恶意软件作者和安全分析人员之间的博弈愈发激烈。沙箱技术作为安全行业分析恶意样本的重要手段，在恶意代码检测和行为分析中扮演着至关重要的角色。VirusTotal和卡巴斯基等安全厂商投入大量资源研发高效沙箱环境，通过模拟真实系统环境来检测恶意软件行为。然而，攻击者也相应开发出多种绕过沙箱检测的方法，使得恶意代码能够隐藏自身真面目，提高感染和执行的成功率。 沙箱检测的核心思想是通过虚拟环境模拟目标系统，并监控程序的行为特征。一旦检测到异常操作，如试图修改系统配置、连接远程服务器或执行逆向工程难以理解的代码，沙箱即会记录并上报风险。
然而这种虚拟化的环境并非完美，存在诸多漏洞及可被探测的侧信道信息，从而被恶意代码用以判断自身是否在沙箱中运行。 针对VirusTotal和卡巴斯基沙箱的绕过，恶意软件开发者经常采用环境检测、行为延时、代码混淆和动态执行等多重策略。环境检测是最常用的手段之一，通过获取系统的IP地址、主机名、操作系统版本、硬件信息甚至网卡的MAC地址，恶意代码可判断当前环境是否符合真实用户机器的特征。例如，沙箱常运行在资源有限的虚拟机中，CPU核数不足、内存容量较低、运行时间很短、进程数量稀少，都成为恶意代码识别沙箱的指标。尤其是MAC地址的前三组字节（厂商标识）若匹配虚拟化厂商如VMware、Hyper-V，恶意程序便会识别并停止执行恶意载荷。 此外，进程列表中含有特定名称的进程也被用作检测依据，诸如VBoxService.exe、vmtoolsd.exe、SandboxieSvc.exe等进程通常是虚拟机或沙箱系统自带的后台服务。
恶意代码通过扫描系统进程，识别这些特征进程后便不会被触发，防止被安全软件捕获。 行为延时及数秒钟甚至数分钟的空转，是另一个绕过沙箱检测的策略。因为沙箱运行的时间有限，大量虚拟环境往往只观察几分钟的运行行为。恶意代码通过定时器延时、等待用户输入或网络请求等方式，来避免在短暂的沙箱监控期间执行恶意操作，从而伪装成无害的程序。 在代码混淆方面，攻击者将恶意代码以加密或加壳方式隐藏，结合动态解密和反调试技术，如使用Python加密字符串后通过自定义解密函数动态执行有效代码。卡巴斯基的沙箱对Python 3.12以上版本的样本支持不足，攻击者则回退至Python 3.7版本编写，以保证沙箱能正常执行分析脚本。
同时，通过将代码分段动态执行，也有效防止恶意代码被一眼识破。 对于VirusTotal的沙箱，虽然部分环境可实现网络交互，支持反向连接shell，但资源依然有限。通过搭建反向Shell服务器，研究员可以实际接入沙箱主机，获取其系统结构信息，从Windows版本、安装目录、运行进程，到系统IP和用户信息，实现精细化分析，进而设计针对性的绕过手段。 然而，卡巴斯基的沙箱在执行环境限制与安全策略方面更为严格，执行Python 3.12及其生成的PyInstaller包经常失败，且系统对恶意活动的检测更加敏感。研究显示必须针对卡巴斯基环境优化脚本，加强对PowerShell命令的运用，提升采集的系统信息维度，才能获得有效回传数据。通过收集系统启动时间、系统目录完整情况、硬件配置信息、磁盘分区和进程活动等多维度指标，能够更准确识别沙箱环境，并对环境差异进行针对性改写。
值得关注的是，虚拟环境和真实用户系统之间在显卡设备上的差别也成为了沙箱检测的破绽。真实PC通常配备品牌显卡，如AMD Radeon或者Intel UHD Graphics，而Virustotal和卡巴斯基沙箱显卡多为通用微软基础适配器或虚拟化驱动，由此生成的PNPDeviceID、显卡名称和描述无一不透露着虚拟环境的蛛丝马迹。恶意程序结合显卡信息的比对，可以极大提高检测的准确率。 关键在于，创建恶意载荷时必须将这些检测细节融合进代码中，并且利用外部服务器采用针对不同运行环境的多版本脚本部署，确保Payload能够智能选择合适的代码路径执行。同时，模糊处理部分字符串与命令，避免被静态签名识别，进一步提升抗检测能力。 安全研究人员也可借鉴这些深入分析细节，制定更科学的防御策略。
通过增强沙箱环境的多样性，如随机化硬件配置、增加系统运行时间、模仿真实用户行为，甚至在沙箱中模拟常用软件的运行，显著提升沙箱的真实性与捕捉恶意变种的能力。此外，结合机器学习算法辨别较难察觉的异常行为，并对逆向分析者常用的探测手法予以限制，从而减少沙箱被绕过的威胁。 总结来看，绕过VirusTotal和卡巴斯基沙箱的技术路线具备很强的实用价值。精确的环境信息采集、多层代码混淆、行为隐藏与时序控制相结合，使得恶意代码能在沙箱环境中躲避检测而顺利执行。信息安全从业者应持续关注恶意软件规避技术的发展，积极投入研究和防御创新，为构建更安全可靠的网络环境贡献力量。
