VMwareCloak

Un script PowerShell qui tente d'aider les analystes en malwares à masquer leurs VM Windows VMware aux malwares qui pourraient tenter d'échapper à l'analyse. Garanti de faire baisser vos scores pafish d'au moins quelques points ;)

Le script y parvient en effectuant les opérations suivantes :

• Renommer plusieurs clés de registre que les malwares utilisent généralement pour la détection de VM.
• Tuer les processus VMware.
• Supprimer les fichiers de pilotes VMware (cela ne fera pas planter votre VM, puisque ces pilotes sont de toute façon chargés en mémoire !).
• Supprimer ou renommer les fichiers de support VMware.

Pour plus d'informations, consultez mon article de blog ici : https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Remarque : ce script ne couvrira pas TOUTES les techniques de détection de VM ! Il existe de nombreuses façons de détecter une VM, et beaucoup d'entre elles ne peuvent pas être corrigées par un simple script PowerShell. Par exemple, des techniques telles que RDTSC et la détection temporelle ne sont pas couvertes, pas plus que la détection par CPUID.

Testé sur Windows 7 et Windows 10 - fonctionne probablement aussi sur Windows XP.

Vous avez repéré des bugs ? Faites-le-moi savoir !

Utilisation

Pour que ce script fonctionne, vous devez l'exécuter avec les privilèges Système ! Les privilèges d'administrateur ne suffisent généralement pas !

Voici comment procéder (à l'aide de Process Hacker) :

1. Démarrez une invite PowerShell (powershell.exe).
2. Ouvrez Process Hacker.
3. Cliquez avec le bouton droit sur le processus PowerShell.exe et sélectionnez "Miscellaneous -> Run As".
4. Dans la liste déroulante "User Name", sélectionnez "System".

Cela lancera un shell Système. Exécutez maintenant le script normalement :

1. Exécutez le script (voir les exemples d'utilisation ci-dessous)
2. Déclenchez votre malware. Profitez-en.
3. Une fois terminé, restaurez votre VM à un état propre.

Exemples d'utilisation :

Modifiez le registre, supprimez les fichiers VMware et tuez les processus VMware :

• "VMwareCloak.ps1 -all"

Modifiez simplement le registre :

• "VMwareCloak.ps1 -reg"

Supprimez simplement les fichiers VMware :

• "VMwareCloak.ps1 -files"

Tuez simplement les processus VMware :

• "VMwareCloak.ps1 -procs"

Avertissements et exclusions de responsabilité

• Ce code est en version bêta. Je sais que j'aurais pu mieux le coder, mais parfois, la solution rapide et pragmatique est la meilleure.
• Utilisez-le à vos risques et périls ! Utilisez-le uniquement dans une VM, et PAS sur votre hôte.
• Assurez-vous de créer un instantané de votre VM avant de l'exécuter.
• L'utilisation des arguments de ligne de commande "files" et/ou "procs" entraînera probablement une baisse des performances de la VM. Cela s'explique par le fait que ce script supprime plusieurs fichiers nécessaires aux fonctions de support telles que les graphiques, la saisie clavier, etc. Restaurez simplement la VM à un état propre si cela perturbe quoi que ce soit.

Contributions et remerciements

• Merci à Takashi Matsumoto (Twitter/X : @t_mtsmt) pour avoir ajouté de nouvelles fonctionnalités et corrigé certains bugs !
• Merci à MMJv3 (https://github.com/MMJv3) pour avoir ajouté de nouvelles modifications de clés de registre !