A Venak Security 2026-os Sandbox tesztjén a MetaDefender Adaptive Sandbox a mesterséges intelligenciával generált rosszindulatú programok mintáinak 95%-át észleli

A négy gyártót és öt kategóriát átfogó nyolcvan értékelés eredményeként az összesített sikerarány 68,8% lett. A Venak Security kiemelte, hogy OPSWAT Adaptive Sandbox és a Malwation THREAT.ZONE „fantasztikus munkát végzett a minták felismerésében”, míg a CrowdStrike Falcon Sandbox és az ANY.RUN pedig csak három, illetve egy mintát észlelt.

OPSWAT Adaptive Sandboxkategóriánkénti eredményei következetesen erős teljesítményt mutatnak a zsarolóprogramok, az adatlopó programok és a rejtett rosszindulatú programok terén, eltérés csak a DLL-oldalsó betöltést kihasználó sebezhetőségek kategóriájában figyelhető meg.

A Zero-day ” kategóriában OPSWAT Adaptive Sandbox és a Malwation THREAT.ZONE egyaránt hatból hat mintát sikeresen feldolgozott. A CrowdStrike Falcon Sandbox a hatból hármat, az ANY.RUN pedig a hatból egyet teljesített sikeresen.

Szakértőink megvizsgálták és dokumentálták az olyan ransomware-kampányokat, mint az Interlock és a Qilin, amelyeket ClickFix-támadásokon keresztül terjesztettek, és amelyek esetében az utasításszintű emuláció még azelőtt kiszűrte a virtuális gép elleni ellenőrzéseket és az alvóidőzítőket, hogy a hasznos teher elérte volna a végpontot. Ugyanez a sebezhetőség az OT-környezetekben is megfigyelhető, ahol nyomon követtük, hogy az ICS- és OT-hálózatokat célzó aktív ransomware-csoportok száma 2024-ben 80-ról 2025-re 119-re nőtt.

Az egészségügy területén már írtunk arról, hogy miért nem elegendő önmagában a végpontvédelem egy olyan zero-day ellen, amely ransomware-t eredményez, és miért képes sandbox emulációalapú sandbox felismerni azokat az eseteket, amelyek mélyebb viselkedésalapú vizsgálatot igényelnek.

Az „Infostealer Malware” kategóriában OPSWAT Adaptive Sandbox és a CrowdStrike Falcon Sandbox mindkettő a négy minta közül négyet is sikeresen feldolgozott. A Malwation THREAT.ZONE a négyből hármat, az ANY.RUN pedig a négyből egyet sem. Az adatlopó kártevők továbbra is gyakoriak a valós világban. Olyan eseteket dokumentáltunk, amikor egy adathalász támadás során bejuttatott hátsóajtó egy .NET-alapú adatlopó kártevőt telepített, hogy a böngészőkből és alkalmazásokból hitelesítő adatokat gyűjtsön.

Ugyanezeket a technikákat láttuk a ClickFix-kampányokban is, amelyek olyan adatlopó programokat terjesztettek, mint a Lumma, a StealC, a Vidar, az AMOS és az Odyssey.

A „DLL-oldalsó betöltés kihasználása” kategóriában a Malwation THREAT.ZONE volt az egyetlen gyártó, amelyik sikeresen teljesítette az egyetlen tesztelt minta vizsgálatát. A DLL-oldalsó betöltés a valós környezetben is aktívan alkalmazott technika; szakértőink nyomon követtek egy valós kampányt, amelyben egy támadó eltérített egy legitim, aláírt Canon segédprogramot, hogy oldalsó úton betöltse a rosszindulatú DLL-t, és telepítse a PlugX hátsóajtót – egy olyan láncolatot, amelyet kizárólag az Adaptive Sandbox fedezte fel futásidőben.

Az „Elrejtett kártevőprogramok” kategóriában Adaptive Sandbox és a CrowdStrike Falcon Sandbox mindkettő a négy minta közül négyet is sikeresen teljesített. A Malwation THREAT.ZONE és az ANY.RUN mindkettő a négy minta közül egyet sem teljesített. A Venak Security megjegyezte, hogy a két cég „fantasztikus munkát végzett e két tesztben”.

Ezt a mintát szorosan nyomon követjük: a tömörített, titkosított és polimorf kártevőprogramok arra kényszerítik az utasításszintű emulációt, hogy visszafejtse és feltárja a hasznos terhet, amelyet a statikus eszközök nem vesznek észre. Ugyanezt a megközelítést láttuk egy Lazarus Comebacker-kampányban is az űrhajózási és védelmi iparban, ahol az emuláció révén derült fény az egyedi XOR- és bitcserés elrejtési technikákra, a ChaCha20 betöltőfázisokra, valamint a kizárólag memóriában történő végrehajtásra.

A Sandbox „Evasion Detection” kategóriában Adaptive Sandbox, a CrowdStrike Falcon Sandbox, valamint a Malwation THREAT.ZONE mindegyike sikeresen feldolgozta az öt mintát. Az ANY.RUN az ötből négyet sikerült feldolgoznia.

OPSWAT Adaptive Sandbox volt a leggyorsabb sandbox , mintánként átlagosan körülbelül 10 másodpercet igényelt. A Venak Security „a jelen értékelés legjobban teljesítő megoldásának” nevezte, míg a CrowdStrike Falcon Sandbox volt a négy gyártó közül a leglassabb, mintánként átlagosan 2–3 percet vett igénybe.

A sebesség közvetlenül befolyásolja a SOC átviteli kapacitását. Egy sandbox másodpercek alatt – nem pedig percek alatt – hoz döntést, csúcsidőszakban is sokkal több fájlt tud feldolgozni anélkül, hogy elemzési sorok alakulnának ki, vagy késleltetné a SIEM- és SOAR-munkafolyamatokban a további automatizált lépéseket.

A Venak Security 2024 szeptemberében mutatta be mesterséges intelligencián alapuló rosszindulatú szoftver-szimulátorát (AI Malware Simulator), és azóta mind zártkörű, mind nyilvános tesztek keretében értékeli a kiberbiztonsági termékeket. Az idei, 2026 második negyedévében végzett értékelés a Venak első, az AMTSO-ra épülő nyilvános sandbox Sandbox Evaluation Framework v1.0-ra épülő első nyilvános sandbox-tesztje, amely a korábbi bejegyzésünkben említett zártkörű értékelést követi.

AzOPSWATAdaptive Sandbox Évről évre összehasonlított teszt eredmények

A két teszt eltérő módszertant alkalmazott, ezért az eredmények százalékos változásként nem közvetlenül összehasonlíthatók. Az észlelési eredmények javultak, míg az elemzési sebesség a korábbi tartományban maradt.

A SOC- és a fenyegetéskereső csapatok számára ez a két független tesztcikluson átívelő konzisztencia fontosabb, mint bármelyik egyedi eredmény. Egy sandbox minden kategóriában – a ransomware, az infostealerek és az elrejtett kártevők esetében egyaránt – jól teljesít, csökkenti azokat a vakfoltokat, amelyeket a támadók egyébként technikaváltással kihasználhatnának. A körülbelül 10 másodperces átlagos értékelési idővel együtt ez kevesebb kimaradt észlelést és kisebb várólistás torlódást jelent a hálózati peremterületen, így az automatizált SIEM- és SOAR-reagálás kézi beavatkozás nélkül is zavartalanul működhet.

MetaDefender az OPSWAT egységes zero-day megoldása, amely az Adaptive Sandbox -et az egyetlen észlelési folyamat öt rétegének egyikeként. A fájlok áthaladnak az 1. rétegen – a fenyegetés-hírnév-elemzésen – és a 2. rétegen – Predictive Alin AI –, amelyek a végrehajtás előtti gépi tanuláson alapuló értékeléseket adnak, majd a 3. rétegen – a dinamikus elemzésen –, amelyet Adaptive Sandboxemulációalapú detonációs technológiájával működő 3. rétegen – Dinamikus elemzés –, a 4. rétegen – ML fenyegetésértékelés – és az 5. rétegen – AI fenyegetésvadászat – haladnak át, hogy végül cselekvésre alkalmas értékelést állítsanak elő.

Minden réteg leszűkíti azokat a fájlokat, amelyeket alaposabban meg kell vizsgálni, mielőtt a következő szintre továbbítanák őket. Predictive Alin AI milliszekundumok alatt, futtatás nélkül Predictive Alin AI a magas kockázatú fájlokat, így csökkentve az Adaptive Sandboxdinamikus elemzési szakaszába kerülnek. A dinamikus elemzésen sikeresen átesett fájlok a fenyegetés-értékelés szakaszába kerülnek, majd végül a hasonlóságon alapuló fenyegetéskeresésbe, amely az eredményeket összehasonlítja az ismert kártevőcsaládokkal és kampányokkal.

A Venak Security tesztjének eredményei tükrözik az Adaptive Sandboxfelismerési képességét tükrözik.Aether MetaDefender Aether belül ez a felismerési képesség négy további réteggel együtt működik, így a SOC- és a fenyegetésvadász csapatok fájlonként egyetlen, összevont értékelést kapnak, ahelyett, hogy különálló eredményeket kellene kézzel összevetniük.

Adaptive Sandboxa Venak Security független tesztjén elért eredményei tükrözik azt az észlelési motort, amely OPSWAT egységes zero-day megoldásának,Aether MetaDefender Aether a középpontjában áll. Beszéljen egy szakértővel, hogy megtudja, hogyan illeszkedikAether MetaDefender Aether ötrétegű feldolgozási folyamata az Ön biztonsági rendszerébe.