我对此没有任何直接经验，因此请谨慎对待。如果您看一下 Sandboxie 的功能，除了他们的驱动程序之外，他们还在 WinAPI 上提供了大量的 ring3 钩子。还有很多其他的事情需要检查，甚至像加载模块一样简单。重点是我认为单个示例不会真正有多大好处，因为有无数种方法可以检测它。其他沙箱模拟、VM 等也是如此。

我没有样本，但这里有关于进行沙盒检测的恶意软件的报告：https : //www.root9b.com/sites/default/files/whitepapers/PoS%20Malware%20ShellTea%20PoSlurp_1.pdf以便您可以在您的样品搜索中更具体。