VBoxCloak

Un script de PowerShell que intenta ayudar a los analistas de malware a ocultar sus máquinas virtuales Windows de VirtualBox de malware que pueda estar intentando evadir el análisis. Garantizado para reducir tus puntuaciones de pafish al menos unos cuantos puntos ;)

El script logra esto haciendo lo siguiente:

• Renombra varias claves de registro que el malware suele utilizar para la detección de MV.
• Mata los procesos de VirtualBox (VBoxService y VBoxTray, etc.).
• Elimina los archivos de controladores de VirtualBox (¡esto no fallará VirtualBox, ya que estos controladores están cargados en la memoria de todos modos!).
• Elimina o renombra los archivos de soporte de VirtualBox en los directorios System32 y SysWOW64.

Para más información, consulta mi entrada de blog aquí: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Nota: ¡Este script no cubrirá TODAS las técnicas de detección de MV! Hay muchas formas de detectar una MV, y muchas de ellas no se pueden solucionar con un simple script de PowerShell. Por ejemplo, técnicas como RDTSC y detección de tiempos no están cubiertas, ni tampoco la detección de CPUID.

Probado en Windows 7 y Windows 10 - Probablemente funcione también en Windows XP y Windows 11.

¿Encuentras algún error? ¡Házmelo saber!

Uso

1. Simplemente ejecuta VBoxCloak.ps1 como Administrador en tu MV Windows de VirtualBox.
2. Detona tu malware. Benefíciate.
3. Cuando termines, restablece tu MV a un estado limpio.

Ejemplos de uso:

Realizar cambios en el registro, eliminar archivos de VBox y matar procesos de VBox:

• "VBoxCloak.ps1 -all"

Solo realizar modificaciones en el registro:

• "VBoxCloak.ps1 -reg"

Solo eliminar archivos de VBox:

• "VBoxCloak.ps1 -files"

Solo matar procesos de VBox:

• "VBoxCloak.ps1 -procs"

Advertencias y descargos de responsabilidad

• Este código está en Beta. Sé que podría haberlo programado mejor, pero a veces lo rápido y sucio es lo mejor.
• ¡Úsalo bajo tu propio riesgo! Úsalo solo en una MV, y NO en tu anfitrión.
• Asegúrate de hacer una instantánea de tu MV antes de ejecutarlo.
• El uso de los argumentos de línea de comandos "files" y/o "procs" puede resultar en un rendimiento inferior de la MV. Esto se debe a que este script elimina varios archivos necesarios para funciones de soporte como gráficos, entrada de teclado, etc. Simplemente revierte la MV a un estado limpio si esto causa algún problema.