SecTepe Malware-Sandbox– verdächtige Dateien sicher ausführen
Die Sandbox führt verdächtige Dateien in isolierten Windows- und Linux-VMs aus und zeigt, was sie wirklich tun. Sie reichen Dateien per API aus Ihren eigenen Systemen ein. Mit dem Mail Security Gateway oder dem EDR-Agenten geht es auch automatisch.
Demo anfragenAuf einen Blick
- Eigenständig nutzbar über REST-API
- Eigene VMI-Engine, kein Agent im Gast
- Gast-VMs mit Windows 10, Windows 11 und Linux
- KI-Reverse-Engineer erklärt jede Probe
- Signaturen, Erkennungsregeln, Screenshots
- Selbst gehostet, keine Cloud-Sandbox
Malware-Analyse: statisch reicht nicht
Ein Virenscanner vergleicht Dateien mit bekannten Mustern. Gepackte Programme, Makro-Dokumente oder Skripte, die ihren Schadcode erst nachladen, fallen dabei oft nicht auf. Eine Malware-Sandbox geht anders vor. Sie führt die Datei aus und beobachtet ihr Verhalten.
Die SecTepe Malware-Sandbox ist eine Eigenentwicklung. Controller, Vorauswahl und die VMI-Engine stammen von uns. Die Sandbox ist ein eigenes Produkt. Sie können sie allein betreiben und aus jedem System ansprechen, das Dateien per HTTP übergeben kann. Wie die Analyse von außen funktioniert, beschreibt unser Beitragsectepe-vmi: agentenlose Malware-Analyse.
Funktionen im Überblick
Was die Sandbox mit einer Probe macht und was Sie danach im Bericht sehen.
Gast-VMs mit Windows 10 und 11
Proben laufen in Gast-VMs mit Windows 10, Windows 11 oder Linux. Linux-Gäste übernehmen ELF-Dateien, Shell-Skripte und Python-Loader. Nach jeder Analyse geht es zurück auf einen sauberen Stand.
Analyse von außen (VMI)
Jede Analyse läuft über unsere eigene Engine sectepe-vmi. Sie beobachtet die VM von außen über den Hypervisor. Im Gast läuft kein Analyse-Agent, den die Malware entdecken könnte.
Signaturen und Erkennungsregeln
Die Sandbox nutzt Verhaltenssignaturen und ein großes Paket an Erkennungsregeln für Malware-Familien. Die Regeln werden laufend aktualisiert.
Konfiguration und Speicher
Die Sandbox liest die Konfiguration bekannter Familien aus, etwa C2-Server und Schlüssel. Sie wertet ein Speicherabbild aus und erkennt, ob ein Programm gepackt oder verschleiert ist.
Netzwerk und Anreicherung
Gefundene Indikatoren gleicht die Sandbox mit unserer Threat Intelligence ab. Auf Wunsch schneidet ein TLS-Proxy verschlüsselten Verkehr der Probe mit.
Screenshots und Bericht
Während der Ausführung entstehen Screenshots. Der Bericht zeigt Signaturen, Prozesse, Datei- und Netzwerkaktivität. Ein KI-Reverse-Engineer erklärt die Ergebnisse in einem kurzen Bericht.
Funktionen im Detail
Drei Themen ausführlich erklärt: die Analyse von außen, der KI-Bericht und die Einreichung per API.
VMI-Analyse ohne Agent im Gast
sectepe-vmi beobachtet jede Probe von außen über den Hypervisor, in Windows- und Linux-Gästen.
Mehr erfahren →KI-Reverse-Engineer
Er fasst jede Analyse zu einem verständlichen Bericht mit Urteil und Begründung zusammen.
Mehr erfahren →API und Einreichung
Dateien per REST-API einreichen, Urteil per Hash abfragen und Gateway oder EDR anbinden.
Mehr erfahren →So reichen Sie Dateien ein
Alle Wege führen über den Sandbox-Controller. Er nimmt Proben an und verteilt sie auf die passende Engine. Diese Einreichungswege gibt es:
- REST-API: Ihr System meldet die Datei mit Name und SHA-256 an und lädt sie dann hoch. Bericht und Urteil fragen Sie per Job-ID oder Hash ab. Der Zugriff ist mit einem API-Schlüssel geschützt.
- Eigene Mail-, EDR- oder SOC-Systeme: Sie binden sie über diese API an. Die Anbindung planen wir gern mit Ihnen.
- Mail Security Gateway: Anhänge mit aktivem Inhalt gehen automatisch in die Sandbox.
- SecTepe-EDR-Agent (opt-in): Unbekannte ausführbare Dateien auf Windows und Linux lädt der Agent nach seiner Entscheidung hoch, je Hash nur einmal.
Das Ergebnis fließt zurück an die Quelle. Im EDR gilt das Urteil künftig für diesen Hash. Im Modus „enforce“ blockiert der Agent den nächsten Start einer als schädlich erkannten Datei.
Noch stärker im Verbund
Die Sandbox arbeitet allein. Mit weiteren SecTepe-Produkten nutzen Sie ihre Ergebnisse aber direkter.
Das Mail Security Gatewayschickt nur Anhänge mit aktivem Inhalt in die Sandbox. Die Screenshots sieht der Admin in der Quarantäne-Ansicht. Fällt ein Urteil erst nach der Zustellung, holt der Gateway die Mail aus allen Postfächern zurück.
SecTepe EDR übergibt unbekannte Programme von Endgeräten. Treffer landen als Alarm inunserem SIEM. Ihr Team oder unser Security Operations Centerwertet sie aus. Erkannte Proben lassen sich im Malware-Archiv derThreat Intelligence von SecTepe.Core archivieren.
KI-Reverse-Engineer
- Fasst Signaturen, Regeltreffer, MITRE-Techniken und IOCs zu einem kurzen Bericht zusammen.
- Gibt ein Urteil von „harmlos“ bis „kritisch“ mit Begründung.
- Mailtext und Probe verlassen das System nicht. Auf Wunsch läuft das Modell auf einem eigenen GPU-Server.
Datenhoheit: Ihre Proben bleiben bei Ihnen
Viele Sandbox-Dienste laufen in der Cloud. Wer dort eine Datei hochlädt, gibt sie aus der Hand. Bei internen Dokumenten ist das oft keine Option.
Die SecTepe Malware-Sandbox läuft auf einem eigenen Sandbox-Host. Den betreiben wir für Sie in Deutschland, oder Sie stellen ihn bei sich auf. Proben, Berichte und Screenshots bleiben in Ihrer Umgebung. Nur der KI-Reverse-Engineer spricht ein Sprachmodell an, und auch das nur mit Merkmalen wie Hashes und Signaturen. Er ist bei jeder Analyse dabei.
Häufige Fragen zur Malware-Sandbox
- Was ist eine Malware-Sandbox?
- Eine Malware-Sandbox führt eine verdächtige Datei in einer abgeschotteten virtuellen Maschine aus. Sie beobachtet, was die Datei tut: welche Prozesse sie startet, welche Dateien sie schreibt und mit wem sie Kontakt aufnimmt. So erkennt sie Schadsoftware, die ein reiner Virenscanner übersieht.
- Kann ich die Sandbox ohne das Mail Security Gateway nutzen?
- Ja. Die Sandbox hat eine eigene REST-API. Darüber reichen Sie Dateien aus beliebigen Systemen ein, etwa aus Ihrem Mailserver, Ihrem EDR oder Ihren SOC-Werkzeugen. Das Mail Security Gateway und der SecTepe-EDR-Agent sind fertige Anbindungen, aber keine Voraussetzung.
- Was hat SecTepe selbst entwickelt?
- Den Kern: den Sandbox-Controller, die statische Vorauswahl, die VMI-Engine sectepe-vmi, die Anbindung an Gateway, EDR und CTI sowie den KI-Reverse-Engineer. Analysiert wird immer per VMI, in Windows- und Linux-Gästen.
- Welche Dateien kann ich analysieren lassen?
- Die Sandbox ist auf Windows-Dateien ausgerichtet: Programme, DLLs, Skripte, Office-Dokumente und PDFs. ELF-Dateien und Shell-Skripte gehen an einen Linux-Gast. Links prüft nicht die Sandbox selbst, sondern der URL-Detonator im Mail Security Gateway.
- Erkennt Malware, dass sie in einer Sandbox läuft?
- Manche Schadsoftware versucht das. Darum beobachtet unsere Engine sectepe-vmi jede Probe von außen über den Hypervisor. Dabei läuft die Beobachtung außerhalb der VM. Eine vollständige Garantie gegen Sandbox-Erkennung gibt es aber bei keinem Produkt.
- Wo laufen meine Proben?
- Die Sandbox läuft auf einem eigenen Sandbox-Host und nicht bei einem Cloud-Anbieter. Sie wählen: Wir betreiben den Host für Sie in Deutschland, oder Sie stellen ihn in Ihrem eigenen Rechenzentrum auf. Berichte und Screenshots bleiben bei Ihnen. Der KI-Reverse-Engineer sendet nur Merkmale wie Hashes und Signaturen an ein Sprachmodell. Er lässt sich auch gegen einen eigenen GPU-Server betreiben.
Eigene Sandbox statt Cloud-Upload
Wir zeigen Ihnen eine Analyse und besprechen, wie Sie die Sandbox an Ihre Systeme anbinden.
So arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.