Um executável que chegou por correio, o director de recursos humanos já lá clicou duas vezes e ninguém sabe o que ele tocou: o diagnóstico que se repete todos os meses numa pequena empresa. O Windows Sandbox resolve-o sem montar nenhuma VM: arranca em segundos uma cópia virgem do Windows dentro de uma janela, deixa-te correr o executável à vontade e, ao fechar a janela, apaga tudo — ficheiros instalados, alterações feitas, o próprio executável. É um componente nativo do Windows desde a versão 1903, gerido pelo hipervisor da própria Microsoft, e activa-se numa linha nas edições Pro, Enterprise e Education.

1. Sandbox ou VM completa

O Windows Sandbox serve a triagem do dia a dia: ficheiros pontuais, suspeitas pequenas, testes de uma tarde. A VM Hyper-V completa serve a análise que tem de sobreviver ao fecho da janela: dias de observação, ferramentas fixas, snapshots para voltar atrás. O Sandbox pede segundos de preparação, sem discos, ISOs nem licenças — a VM pede tudo isso e mantém o ambiente.

No caso do executável que o director abriu, o primeiro passo é replicar o clique dentro de um Sandbox com os Downloads mapeados e a rede desligada — o perfil da secção 4 faz exactamente isso. A detonação do Defender corre desde fábrica, mas sem o portal do Defender for Endpoint fica invisível. A regra para a PME: Sandbox para o que se decide em minutos, VM completa quando a análise se estende por dias.

2. Activar o Windows Sandbox

2.1 Pré-requisitos

  • Windows 10 (versão 1903 ou mais recente) ou Windows 11 nas edições Pro, Enterprise ou Education — a Home fica de fora, como na secção 5.
  • Virtualização activa na BIOS/UEFI (Intel VT-x ou AMD-V) — em portáteis novos não é raro vir desligada de fábrica.
  • 4 GB de RAM no mínimo (8 recomendados), dois núcleos de CPU e 1 GB de disco livre.

2.2 O comando

PowerShell aberto como administrador, uma só linha:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

O cmdlet devolve o estado do componente e o aviso de reinício: responde Y à pergunta e reinicia quando o pedir. Sem PowerShell: pesquisa por Turn Windows features on or off, marca a caixa Windows Sandbox e confirma com OK. O arranque seguinte traz o esperado: o menu Iniciar passa a listar o Windows Sandbox.

2.3 Virtualização na BIOS/UEFI

Abre o Gestor de Tarefas, separador Desempenho, e vê a linha Virtualização do processador: deve ler-se Activada. Se não lê, o interruptor dorme na BIOS/UEFI — Intel VT-x nos processadores Intel, SVM nos AMD. Quem arranca o Sandbox dentro de uma Hyper-V aninha antes a virtualização no anfitrião, com Set-VMProcessor -ExposeVirtualizationExtensions.

3. O primeiro teste

Escreve Windows Sandbox no menu Iniciar e entra. Em poucos segundos abre o ecrã de um Windows acabado de instalar — um Windows completo, com kernel próprio e memória dividida pelo hipervisor.

O teste vive em quatro passos: copia o executável (o clipboard partilha os dois sentidos), corre-o, observa — janelas inesperadas, credenciais pedidas, ligações à rede — e fecha. Antes do fecho o Sandbox pergunta se confirmas apagar tudo: ao dizer OK, regressas à máquina real com a caixa vazia.

Útil desde a 22H2: um reinício iniciado dentro do Sandbox mantém o estado da sessão, ideal para instaladores que só terminam depois de reiniciar. Quem apaga é o fecho da janela.

4. O ficheiro .wsb que mapeia os Downloads

O .wsb é um ficheiro de texto com XML que pré-configura o arranque: com a extensão certa, abre-se num duplo clique e a janela arranca com a rede e as pastas definidas. Este perfil cobre o executável suspeito — rede desligada, Downloads mapeado em leitura, Explorador já aberto na pasta:

<Configuration>
  <Networking>Disable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\luis\Downloads</HostFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\Users\WDAGUtilityAccount\Desktop\Downloads</Command>
  </LogonCommand>
</Configuration>

Sem SandboxFolder declarado, a pasta fica no ambiente de trabalho do utilizador interno — e o LogonCommand abre lá o Explorador, com os Downloads mapeados como primeira coisa no ecrã. Como o LogonCommand aceita um único comando, encadear passos pede um script .cmd mapeado pela mesma via e invocado ali. O HostFolder exige um caminho que exista na máquina real — em caso contrário o arranque falha — e o ReadOnly verdadeiro fecha o circuito: a amostra não escreve de volta para os teus ficheiros.

Ajustes para os casos restantes: MemoryInMB fixa a memória em máquinas pequenas, AudioInput em Disable corta o microfone a amostras curiosas, VideoInput já nasce desligado e ProtectedClient activado acrescenta uma camada a mais no isolamento — ao custo de um copiar/colar mais restrito.

5. Armadilhas

  • A edição Home fica fora. Nos portáteis comprados a retalho a caixa nem aparece na lista de funcionalidades — upgrade para Pro ou uma VM clássica.
  • Virtualização desligada. O sintoma: a entrada do menu Iniciar falha à partida. No Gestor de Tarefas (Desempenho, CPU) a linha Virtualização deve ler-se Activada — caso contrário, o interruptor está na BIOS/UEFI.
  • Rede ligada por defeito. Sem .wsb, o Sandbox liga pela switch do Hyper-V e a amostra vê a tua rede interna — partilhas, impressoras, o router. Para malware de verdade, <Networking>Disable</Networking> sempre.
  • Não copiam para dentro sem mapear. O clipboard leva texto e ficheiros pequenos, mas arrastar um instalador de 300 MB para a janela não funciona — os Downloads entram pelo mapeamento do .wsb.
  • Mapeamento sem ReadOnly escreve de volta. O que a amostra largar numa pasta mapeada sobe sem leitura restrita e persiste na máquina real depois de fechada a janela: em suspeitas, leitura sempre.
  • A conta interna é administrador. A amostra instala sem o UAC da máquina real travar nada — a rede desligada e a pasta em leitura assumem esse bloqueio.

6. Sandbox, VM e detonação: a tabela

As três rotas servem tempos diferentes:

Critério Windows Sandbox VM Hyper-V Detonação do Defender
Tempo até observares a amostra Segundos Minutos: ISO, licença e actualizações Corre na hora em que o Defender ou o SmartScreen classificam o ficheiro
O que sobrevive ao fecho Nada Discos, snapshots, ferramentas Nada na tua máquina
Rede Ligada por defeito, desligável no .wsb Total: NAT, switch interno ou isolada Definida pela nuvem da Microsoft
Requisitos Pro, Enterprise ou Education, virtualização activa, 4 GB de RAM Pro com Hyper-V, virtualização activa, disco próprio Defender e SmartScreen actualizados
Papel na PME Triagem rápida do dia a dia Análise longa e replicação duradoura Detecção automática em toda a frota

Fontes oficiais