VMwareCloak

Un script de PowerShell que intenta ayudar a los analistas de malware a ocultar sus máquinas virtuales VMware de Windows del malware que pueda estar intentando evadir el análisis. Garantizado para bajar tus puntuaciones en pafish por al menos algunos puntos ;)

El script logra esto haciendo lo siguiente:

• Renombra varias claves de registro que el malware suele usar para la detección de VM.
• Mata los procesos de VMware.
• Elimina los archivos de controladores de VMware (¡esto no bloqueará tu VM, ya que estos controladores están cargados en memoria de todos modos!).
• Elimina o renombra los archivos de soporte de VMware.

Para más información, consulta mi publicación en el blog aquí: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Nota: ¡Este script no cubrirá TODAS las técnicas de detección de VM! Hay muchas formas de detectar una VM, y muchas de ellas no se pueden solucionar con un simple script de PowerShell. Por ejemplo, técnicas como RDTSC y la detección por temporización no están cubiertas, tampoco lo está la detección por CPUID.

Probado en Windows 7 y Windows 10: probablemente también funciona en Windows XP.

¿Encontraste algún bug? ¡Avísame!

Uso

¡Para que este script funcione, debes ejecutarlo con privilegios de Sistema! Los privilegios de Administrador no suelen ser suficientes.

Así es como hacerlo (usando Process Hacker):

1. Inicia un símbolo del sistema de PowerShell (powershell.exe).
2. Abre Process Hacker.
3. Haz clic derecho en el proceso PowerShell.exe y selecciona "Miscellaneous -> Run As".
4. En el menú desplegable "User Name", selecciona "System".

Esto abrirá un shell de Sistema. Ahora ejecuta el script de manera normal:

1. Ejecuta el script (consulta los ejemplos de uso más abajo)