در بسیاری از سندباکس‌ها فقط خلاصه نهایی می‌ماند. لایه مشاهده زنده سیستم‌کال، اجرای نمونه در محیط ایزوله را قابل‌مشاهده و قابل‌بازپخش می‌کند تا تحلیل‌گر توالی واقعی را ببیند؛ نه فقط خروجی پس از اتمام تسک.
چه چیزی ثبت می‌شود؟
- وضعیت دسکتاپ و پنجره‌های باز در طول اجرا
- بازپخش فریم برای مرور دوباره همان session
- هم‌ترازی مشاهده بصری با رویدادهای پردازه و شبکه
کاربرد عملی
- dropperهایی که چند مرحله UI یا تعامل لازم دارند
- نمونه وابسته به تایید کاربر یا پنجره جعلی
- مرور مشترک با همکار و آموزش تحلیل‌گر تازه‌کار
اجرا داخل آزمایشگاه تحلیل انجام می‌شود. برای مبانی، تحلیل بدافزار چیست؟ را بخوانید.