memo/手軽に実験環境を作れるSandboxie
お手軽に怪しいファイルを実行できる環境を作るSandboxieです。
Sandboxie
http://www.sandboxie.com/
Sandboxie_jp.zip日本語化パッチ（Ver3.01）
70％くらい日本語化してあります。自己責任で使用してください。
ブラウザをSandboxieで管理させ危険なサイトに潜むマルウェアの被害をSandboxieの用意したフォルダ、レジストリ内で処理するため、本来のPCに影響はありません。
というのが正しい使い方らしいのですが、Sandboxieからエクスプローラ起動してファイルを削除してもレジストリエディタでキーを削除しまくってもSandboxieが用意したレジストリ、ファイルが変更されるだけで、本来のレジストリ、ディスクには変更はされません。
色々なソフトを気軽に試したいけどMicrosoft Virtual PCやVMwareで実行させるのは大げさかな、と言う時に導入してみてはいかがでしょう？
未登録ではインストールから30日過ぎるとポップアップでレジストの案内が出ますが使うことが出来ます。
以下でウイルスの実験をしていますがSandboxieの性質上メモリ、ブートセクタ感染などのタイプは対処できないと思います。もし同じ実験を試すのなら十分に注意してください。
迷惑ソフトのWinAntiVirus? Pro 2007をインストールしてみます。
Run Sandboxed → AnyProgram?から「WinAntiVirusPro2007FreeInstall_jp.exe」を実行します。
WinAntiVirusPro2007FreeInstall_jp.exeを実行するとネットからファイルのダウンロードが始まります。
無事？インストール終了しましたが、デスクトップにはWinAntiVirus? Pro 2007のショートカットは作成されていません。
C:\Documents and Settings\ユーザー名\Application Data\Sandbox\DefaultBox?\user\current以下にデスクトップにショートカット、プログラム本体、レジストリ情報が保存されます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion?\Runなどのレジストリには書き込まれていません。
Contents of Sandbox → Delete Contentsで保存データを削除することが出来ます。
次にWin32.SdBot?.aadを感染させてみます。
念のためにネットワークから隔離した状態でRun Sandboxed → AnyProgram?から実行。
どこが感染したかFreeのアンチウイルスソフトDr.WEB CureIt?! で調べます。
C:\Documents and Settings\ユーザー名\Application Data\Sandbox\DefaultBox?\drive\C\WINNT\svchost.exeがTrojan.MulDrop?.8228に感染しています
通常はC\%windir%\svchost.exeに感染しますが、こちらの方は無事でした。
レジストリも特に異常はありません。
ハルヒウィルスMk-Ⅱ（Trojan.Win32.killFiles.ne）を感染させます。
C:\Documents and Settings\ユーザー名\Application Data\Sandbox\DefaultBox?\drive\C\以下にもの凄い勢いで「ファイル名 .SoS .SoS･･･」を作っていきます。
