在沙盘中运行可疑 .exe 的完整流程

下面是一套安全地在隔离环境中检查可疑 .exe 的流程。原则是：先做静态检查，再在可回滚、与主机隔离的虚拟机里运行；不要在日常使用的电脑上直接双击。

1. 先确认是否真的需要运行

如果文件来自钓鱼邮件、盗版软件或陌生下载链接，且没有分析需求，最安全的做法是不要运行，直接删除或交由安全团队处理。不要把含有个人、公司或客户信息的文件上传到公共在线扫描服务。

2. 准备隔离环境

优先使用一次性虚拟机（如 Hyper-V、VMware 或 VirtualBox）：

• 安装干净、更新过的 Windows；创建快照，便于事后还原。
• 不要登录 Microsoft、邮箱、网银、公司账户，也不要存放真实凭据或个人文件。
• 关闭共享文件夹、剪贴板同步、拖放、USB 直通和主机目录映射。
• 默认断开网络。如确需观察网络行为，使用隔离的分析网络，不能连接家庭或公司局域网；不要把虚拟机桥接到真实网络。
• 确认虚拟机中的文件和主机之间没有自动同步或共享。

Windows Sandbox 也可用于短时、一次性检查，但它更适合一般隔离测试；需要更完整的监控或可重复分析时，使用虚拟机快照更合适。

3. 在运行前记录并检查文件

通过受控方式把样本复制进虚拟机，记录文件名、来源和获取时间。先计算哈希，便于确认样本身份：

Get-FileHash .\sample.exe -Algorithm SHA256

可先做不执行文件的检查：

• 查看数字签名、签名者和签名是否有效。
• 检查文件属性、版本信息、文件大小和创建时间。
• 用本地安全软件扫描。
• 必要时用静态分析工具查看文件类型、字符串或导入信息；不要因为“没有检出”就认定安全。

哈希、签名和扫描结果只能作为线索，不能单独证明文件安全。

4. 运行时的观察流程

如果仍需动态分析：

1. 先记录虚拟机基线：运行进程、网络连接、启动项和关键系统状态。
2. 开启监控工具，例如进程与文件活动监视器、资源监视器及事件查看器；按需要记录进程创建、文件写入、注册表修改和网络尝试。
3. 确认隔离设置无误后，在虚拟机内运行样本。不要使用管理员权限，除非分析目的确实需要。
4. 观察程序行为和异常现象；不要在样本提示下输入真实密码、验证码、密钥或个人资料。
5. 一旦出现意外网络连接、加密或删除文件、弹出凭据窗口等情况，立即断开虚拟机网络并停止分析。
6. 保存日志、截图、哈希和观察时间线。不要把虚拟机内发现的文件直接运行或复制到主机。

5. 结束与清理

• 关闭虚拟机并还原到运行前快照；不要只删除样本后继续使用该虚拟机。
• 检查主机与虚拟机之间是否启用了共享功能；确认没有样本或产物被同步到主机。
• 如果涉及公司设备、敏感数据、勒索行为或疑似定向攻击，保留证据并联系安全团队，不要自行继续处理。
• 如果此前已在真实电脑上运行过该文件，应断网、避免输入账号密码，并尽快联系 IT/安全人员检查；必要时从可信介质重装系统并更改可能暴露的凭据。