VBoxCloak

Un script PowerShell qui tente d'aider les analystes de malware à cacher leur VM VirtualBox Windows des malwares qui pourraient essayer d'éviter l'analyse. Garanti de faire baisser vos scores pafish d'au moins quelques points ;)

Le script y parvient en effectuant les actions suivantes :

• Renomme plusieurs clés de registre que les malwares utilisent généralement pour la détection de VM.
• Tue les processus VirtualBox (VBoxService et VBoxTray, etc.).
• Supprime les fichiers de pilotes VirtualBox (cela ne fera pas planter VirtualBox, car ces pilotes sont de toute façon chargés en mémoire !).
• Supprime ou renomme les fichiers de support VirtualBox dans les répertoires System32 et SysWOW64.

Pour plus d'informations, consultez mon article de blog ici : https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Remarque : Ce script ne couvrira PAS toutes les techniques de détection de VM ! Il existe de nombreuses façons de détecter une VM, et beaucoup d'entre elles ne peuvent pas être corrigées avec un simple script PowerShell. Par exemple, les techniques telles que RDTSC et la détection temporelle ne sont pas couvertes, ni la détection CPUID.

Testé sur Windows 7 et Windows 10 - Fonctionne probablement aussi sur Windows XP et Windows 11.

Vous repérez des bugs ? Faites-le moi savoir !

Utilisation

1. Exécutez simplement VBoxCloak.ps1 en tant qu'administrateur sur votre VM VirtualBox Windows.
2. Détonnez votre malware. Profitez-en.
3. Une fois terminé, réinitialisez votre VM à un état propre.

Exemples d'utilisation :

Effectuer les modifications de registre, supprimer les fichiers VBox et tuer les processus VBox :

• "VBoxCloak.ps1 -all"

Effectuer uniquement les modifications de registre :

• "VBoxCloak.ps1 -reg"

Supprimer uniquement les fichiers VBox :

• "VBoxCloak.ps1 -files"

Tuer uniquement les processus VBox :

• "VBoxCloak.ps1 -procs"

Avertissements et désistements

• Ce code est en version bêta. Je sais que j'aurais pu mieux le coder, mais parfois le rapide et le sale est le mieux.
• Utilisez-le à vos propres risques ! Utilisez-le uniquement dans une VM, et PAS sur votre hôte.
• Assurez-vous de faire un instantané de votre VM avant de l'exécuter.
• L'utilisation des arguments de ligne de commande "files" et/ou "procs" peut entraîner une baisse des performances de la VM. Cela est dû au fait que ce script supprime plusieurs fichiers nécessaires aux fonctions de support telles que les graphiques, la saisie clavier, etc. Revenez simplement à un état propre de la VM si cela pose problème.