VMwareCloak

نص برمجي بلغة PowerShell يحاول مساعدة محللي البرمجيات الخبيثة على إخفاء أجهزة VMware Windows الافتراضية الخاصة بهم من البرمجيات الخبيثة التي قد تحاول التهرب من التحليل. مضمون أنه سيخفض تقييمات pafish الخاصة بك ببضع نقاط على الأقل ;)

يحقق البرنامج النصي ذلك من خلال القيام بما يلي:

• يعيد تسمية العديد من مفاتيح التسجيل (registry keys) التي تستخدمها البرمجيات الخبيثة عادةً لكشف الأجهزة الافتراضية.
• يقتل عمليات VMware.
• يحذف ملفات تعريف VMware (لن يؤدي ذلك إلى تعطل جهازك الافتراضي، لأن هذه التعريفات محملة في الذاكرة على أي حال!).
• يحذف أو يعيد تسمية الملفات الداعمة لـ VMware.

لمزيد من المعلومات، راجع منشور مدونتي هنا: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

ملاحظة: لن يغطي هذا البرنامج النصي جميع تقنيات كشف الأجهزة الافتراضية! هناك العديد من الطرق لكشف VM، وكثير منها لا يمكن إصلاحه ببرنامج PowerShell بسيط. على سبيل المثال، تقنيات مثل RDTSC وكشف التوقيت غير مغطاة، وكذلك كشف CPUID.

تم اختباره على Windows 7 وWindows 10 - ربما يعمل على Windows XP أيضًا.

وجدت أي أخطاء؟ أخبرني!

الاستخدام

لكي يعمل هذا البرنامج النصي، يجب تشغيله بصلاحيات النظام (System)! صلاحيات المسؤول (Administrator) عادةً لا تكون كافية!

إليك كيفية القيام بذلك (باستخدام Process Hacker):

1. افتح موجه PowerShell (powershell.exe).
2. افتح Process Hacker.
3. انقر بزر الماوس الأيمن على عملية PowerShell.exe وحدد "Miscellaneous -> Run As".
4. في القائمة المنسدلة "User Name"، حدد "System".

سيؤدي هذا إلى إنشاء shell بصلاحيات النظام. الآن نفّذ البرنامج النصي كالمعتاد:

1. شغّل البرنامج النصي (انظر أمثلة الاستخدام أدناه)
2. فجّر برمجيتك الخبيثة. واربح.
3. عند الانتهاء، أعد تعيين جهازك الافتراضي إلى حالة نظيفة.

أمثلة الاستخدام:

إجراء تغييرات على التسجيل، وإزالة ملفات VMware، وقتل عمليات VMware:

• "VMwareCloak.ps1 -all"

فقط إجراء تعديلات على التسجيل:

• "VMwareCloak.ps1 -reg"

فقط إزالة ملفات VMware:

• "VMwareCloak.ps1 -files"

فقط قتل عمليات VMware:

• "VMwareCloak.ps1 -procs"

تحذيرات وإخلاء مسؤولية

• هذا الكود في مرحلة بيتا (Beta). أعلم أنني كان بإمكاني كتابته بشكل أفضل، لكن في بعض الأحيان الحل السريع وغير المثالي هو الأفضل.
• استخدمه على مسؤوليتك الخاصة! استخدمه فقط داخل جهاز افتراضي، وليس على جهازك المضيف.
• تأكد من إنشاء لقطة (snapshot) لجهازك الافتراضي قبل تشغيله.
• استخدام وسيطات سطر الأوامر "files" و/أو "procs" سيؤدي على الأرجح إلى انخفاض أداء الجهاز الافتراضي. وذلك لأن هذا البرنامج النصي يزيل العديد من الملفات المطلوبة للوظائف الداعمة مثل الرسومات وإدخال لوحة المفاتيح وما إلى ذلك. فقط أعد الجهاز الافتراضي إلى حالة نظيفة إذا تسبب هذا في أي مشكلة.

المساهمات والشكر

• شكرًا لتاكاشي ماتسوموتو (Twitter/X: @t_mtsmt) لإضافة ميزات جديدة وإصلاح بعض الأخطاء!
• شكرًا لـ MMJv3 (https://github.com/MMJv3) لإضافة تغييرات جديدة على مفاتيح التسجيل!