Автоматическое определение формата файла и запуск в песочнице

Kaspersky Research Sandbox может автоматически определять формат файла (образца), загружаемого для анализа.

Предварительная и последующая обработка может занять до 45 минут. Максимальное время обработки (включая время выполнения объекта до 30 минут) составляет 1 час 15 минут. В этот промежуток не входит возможное время ожидания задачи в очереди.

Для корректной обработки образца поддерживаемого формата не требуется явным образом указывать расширение файла как специальный параметр, который переопределяет имя и расширение образца при запуске в песочнице. Кроме того, образец может иметь неверное расширение. К таким типам файлов относятся форматы, перечисленные в разделе Автоматически определяемые типы файлов.

Для пользовательских образов можно определить собственный список ассоциации файлов.

Однако правильное определение формата файла не гарантирует, что файл всегда будет обрабатываться оптимальным образом в песочнице, поскольку в среде выполнения может отсутствовать программное обеспечение для корректной обработки всех обнаруженных форматов.

Например, обнаружен файл формата flac (несжатое аудио), но в среде выполнения нет проигрывателя, который мог бы его открыть. Или поддерживается определение формата iso (образ диска), но программное обеспечение, которое автоматически запускает определенный файл в этом образе диска, не установлено.

Такие форматы представлены ниже.

Если среда выполнения Windows установлена и правильно настроена, Kaspersky Research Sandbox автоматически определяет следующие форматы файлов:

• Двоичные исполняемые файлы и библиотеки: exe, dll, sys, cpl, scr и другие.
• Документы Microsoft Office: rtf, doc, docx, eml, dotm, xls, xlsx, xltm, ppt, pptm, one и другие расширения, открываемые стандартным пакетом Microsoft Office.
• Поддерживаемые расширения ОС: hta, chm, lnk и другие.
• Флэш-анимация: swf.
• Классы Java: jre.
• PDF-документы.
• Установочные файлы: exe, msi.

Для среды выполнения Linux решение Kaspersky Research Sandbox обнаруживает следующие форматы файлов:

• Двоичные исполняемые файлы: elf.

Для среды выполнения Android решение Kaspersky Research Sandbox обнаруживает следующие форматы файлов:

• Установочные файлы: apk.
• Исполняемые файлы: dex.

Форматы файлов, требующие явного расширения

Некоторые форматы файлов не могут быть надежно определены автоматически.

В их число входят, например, сценарии на определенных языках, поскольку они представляют собой просто текст (bat, ps1, cmd и другие).

Если формат файла достоверно известен, рекомендуется указать его при отправке объекта на анализ в поле Change file name and extension to для всех типов файлов, не указанных в таблице выше. В этом случае Kaspersky Research Sandbox будет использовать тот тип, расширение которого вы указали при создании задачи выполнения.

Помимо указания расширения загружаемого файла (shell, pl, py) для объектов этих форматов важно наличие shebang-строки внутри файла.

Сценарии, загружаемые в среду выполнения на основе Linux, должны иметь вариант перевода строки UNIX: LF (ASCII 0x0A). Для сценариев с версией перевода строки (CR+LF) для Windows рекомендуется сначала преобразовать ее в версию для UNIX.

Обработка архивов

Kaspersky Research Sandbox поддерживает распаковку и запуск в песочнице следующих форматов архивов: zip, rar, 7z, gz, arj, tar, ace, lzh, alz, bz2, cab, fxc, hki, lha, pea, xz, z и других.

Если архив содержит только один файл, то этот архив автоматически распаковывается и распакованный файл отправляется на запуск в песочнице.

Если при создании задачи не указать пароль явным образом, при распаковке зашифрованных архивов Kaspersky Research Sandbox будет использовать пароли по умолчанию.

Если архив содержит более одного файла, можно выполнить динамический анализ с использованием режима VNC. Если параметр VNC access не был выбран при создании задачи, выполняется только статический анализ. Его результаты описаны в разделе "Статический анализ".