Windows Sandbox: проверка подозрительного файла в изолированной среде

Windows Sandbox: проверка подозрительного файла в изолированной среде

Коротко. Windows Sandbox — встроенная в Windows Pro, Enterprise и Education одноразовая среда: при закрытии окна удаляется всё, что было установлено и создано внутри. Она подходит, чтобы открыть документ, архив или установщик неизвестного происхождения и посмотреть, что он делает, не рискуя основной системой. Но песочница не является антивирусом и не даёт абсолютной гарантии: сеть по умолчанию включена, а изоляция не рассчитана на целевые атаки. Правильная схема — отключить сеть, дать доступ к файлу только на чтение, не монтировать личные папки и после проверки всё равно прогнать файл антивирусом.

Ниже — включение, безопасная конфигурация и границы метода.

Что даёт песочница, а что нет

Microsoft описывает песочницу как лёгкую среду для запуска недоверенного ПО. Это верно для типовых угроз вроде рекламных установщиков, майнеров и шифровальщиков, которые не умеют выходить за пределы контейнера. Для атаки, нацеленной именно на вас, изоляция — не барьер.

Требования

• Редакция: Windows Pro, Enterprise, Pro Education/SE или Education. На Windows Home функция недоступна.
• Процессор: 64-битный AMD64; на Windows 11 22H2 и новее поддерживается Arm64.
• Виртуализация: включена в BIOS/UEFI (Intel VT-x/AMD-V). Внутри виртуальной машины нужна вложенная виртуализация.
• Память: минимум 4 ГБ, рекомендуется 8 ГБ.
• Диск: минимум 1 ГБ свободно, желательно SSD.
• Ядра: минимум два, рекомендуется четыре с Hyper-Threading.

Проверить, включена ли виртуализация, можно в диспетчере задач → «Производительность» → «ЦП»: строка «Виртуализация» должна быть «Включено».

Как включить

Через интерфейс:

1. «Пуск» → введите «Включение или отключение компонентов Windows».
2. Найдите Windows Sandbox, поставьте галочку, нажмите «ОК».
3. Перезагрузите ноутбук.

Через PowerShell от имени администратора:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

После перезагрузки в меню «Пуск» появится приложение Windows Sandbox. Если его нет — проверьте редакцию и требования: на Home функция не появится.

Правильная конфигурация для незнакомого файла

Запускать песочницу «как есть» для проверки вируса — плохая идея: по умолчанию сеть включена, а значит, вредоносное ПО может связаться с сервером управления или обратиться к устройствам в вашей локальной сети.

Создайте текстовый файл с расширением .wsb, например triage.wsb:

<Configuration>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\Public\Downloads\suspect</HostFolder>
      <SandboxFolder>C:\temp</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\temp</Command>
  </LogonCommand>
</Configuration>

Что здесь важно:

• Networking: Disable — отключает сеть. Это самая значимая настройка.
• ReadOnly: true — файл доступен только для чтения, вредоносный код не сможет изменить оригинал.
• MappedFolder — монтируется отдельная папка с файлом, а не весь профиль пользователя.
• LogonCommand — сразу открывает папку с файлом.

Не монтируйте в песочницу C:\Users\ВашеИмя, рабочие документы или сетевые диски: это сводит изоляцию на нет.

Порядок проверки

1. Скопируйте подозрительный файл в отдельную папку, например C:\Users\Public\Downloads\suspect.
2. Запустите triage.wsb двойным щелчком.
3. Внутри песочницы откройте файл и наблюдайте: появляются ли окна с просьбой отключить антивирус, установить «обновление браузера», ввести пароль.
4. Не вводите свои пароли и не подключайте аккаунты внутри песочницы.
5. Посмотрите, какие процессы запустились: диспетчер задач внутри песочницы.
6. Закройте окно песочницы — среда и все изменения удалятся.

Если файл ведёт себя агрессивно (требует права администратора, пытается установить службу, открывает десятки окон), это уже достаточный признак, чтобы не запускать его на основной системе.

Чего песочница не умеет

• Не сохраняет состояние. Песочница одноразовая по замыслу; для постоянной изолированной среды нужна виртуальная машина.
• Не заменяет проверку антивирусом. Файл, который «ничего не сделал» в песочнице, может быть вредоносным: часть malware ждёт условий, проверяет наличие песочницы или активируется позже.
• Не защищает от фишинга. Если вы ввели пароль на поддельной странице внутри песочницы, пароль уже украден — изоляция тут ни при чём.
• Не работает на Windows Home. Для домашней редакции нужны альтернативы.

Что делать на Windows Home

Для домашнего пользователя часто разумнее не запускать файл вообще: если отправитель не может объяснить, что это, файл не нужен.

Что делать, если файл всё-таки запустили на основной системе

1. Отключите сеть.
2. Запустите автономную проверку Microsoft Defender: «Безопасность Windows» → «Защита от вирусов и угроз» → «Параметры сканирования» → «Автономная проверка Microsoft Defender».
3. Проверьте автозагрузку и расширения браузера.
4. Смените пароли с другого устройства.
5. При признаках шифрования не платите и сохраните копию данных.

Порядок действий при инциденте подробно разобран в материале фишинговое письмо: что делать.

FAQ

Можно ли запускать в песочнице программы, которые требуют интернет?

Технически да, но для проверки незнакомого файла сеть лучше отключить. Если программа без сети не работает, это само по себе подозрительно: легитимный офлайн-установщик обычно не требует соединения для запуска.

Песочница защищает от программ-вымогателей?

В большинстве случаев да, потому что при закрытии окна всё удаляется, а личные папки не смонтированы. Но если вы дали доступ к реальной папке с документами, шифровальщик зашифрует и её. Изоляция работает только при правильной конфигурации.

Видно ли вредоносному ПО, что оно в песочнице?

Опытные образцы умеют определять виртуальные среды и вести себя «тихо». Поэтому отрицательный результат проверки не означает, что файл безопасен.

Можно ли установить в песочницу антивирус и проверить файл там?

Можно, но это не даст преимущества: вы проверяете файл тем же антивирусом, что стоит на хосте. Проще проверить файл штатным сканером до запуска.

Сколько живёт песочница?

До закрытия окна. Всё, что установлено и создано внутри, удаляется. Начиная с Windows 11 22H2 данные сохраняются при перезапуске внутри песочницы, но не после её закрытия.

Связанные материалы

• Фишинговое письмо: что делать и как проверить ноутбук.
• Controlled folder access: защита от вымогателей.
• Что сделать с б/у ноутбуком после покупки.