VBoxCloak

برنامج PowerShell Script يساعد محللي البرامج الضارة على إخفاء جهاز VirtualBox Windows VM الخاص بهم من البرامج الضارة التي قد تحاول التهرب من التحليل. يضمن تقليل تقييمات pafish الخاصة بك ببضع نقاط على الأقل ;)

يحقق البرنامج ذلك من خلال القيام بما يلي:

• إعادة تسمية عدة مفاتيح ريجستري (Registry) التي تستخدمها البرامج الضارة عادةً لاكتشاف VM.
• قتل عمليات VirtualBox (VBoxService و VBoxTray، إلخ).
• حذف ملفات تعريف VirtualBox (لن يؤدي ذلك إلى تعطل VirtualBox، حيث أن هذه التعريفات محملة في الذاكرة على أي حال!).
• حذف أو إعادة تسمية ملفات دعم VirtualBox في أدلة System32 و SysWOW64.

لمزيد من المعلومات، راجع مقالتي على المدونة هنا: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

ملاحظة: لن يغطي هذا البرنامج النصي جميع تقنيات اكتشاف VM! هناك العديد من الطرق لاكتشاف VM، والعديد منها لا يمكن إصلاحه ببرنامج PowerShell Script بسيط. على سبيل المثال، تقنيات مثل RDTSC واكتشاف التوقيت غير مغطاة، وكذلك اكتشاف CPUID.

تم اختباره على Windows 7 و Windows 10 - ربما يعمل على Windows XP و Windows 11 أيضًا.

وجدت أي أخطاء؟ أخبرني!

الاستخدام

1. قم بتشغيل VBoxCloak.ps1 كمسؤول (Administrator) على جهاز VirtualBox Windows VM الخاص بك.
2. فجّر برنامجك الضار. أربح.
3. عند الانتهاء، أعد جهاز VM إلى الحالة النظيفة (Clean State).

أمثلة الاستخدام:

إجراء تغييرات على الريجستري، إزالة ملفات VBox، وقتل عمليات VBox:

• "VBoxCloak.ps1 -all"

مجرد إجراء تعديلات على الريجستري:

• "VBoxCloak.ps1 -reg"

مجرد إزالة ملفات VBox:

• "VBoxCloak.ps1 -files"

مجرد قتل عمليات VBox:

• "VBoxCloak.ps1 -procs"

تحذيرات وإخلاء مسؤولية

• هذا الكود في مرحلة تجريبية (Beta). أعرف أنه كان بإمكاني برمجته بشكل أفضل، لكن أحيانًا يكون السريع والقذر هو الأفضل.
• استخدمه على مسؤوليتك الخاصة! استخدمه فقط داخل VM، وليس على جهاز المضيف.
• تأكد من عمل لقطة (Snapshot) لجهاز VM قبل تشغيل هذا البرنامج.
• قد يؤدي استخدام وسائط سطر الأوامر "files" و/أو "procs" إلى انخفاض أداء VM. وذلك لأن هذا البرنامج النصي يقوم بإزالة عدة ملفات ضرورية لوظائف الدعم مثل الرسومات، وإدخال لوحة المفاتيح، إلخ. ما عليك سوى إعادة VM إلى الحالة النظيفة إذا تسبب ذلك في أي مشكلة.