VMwareCloak

एक PowerShell स्क्रिप्ट जो मैलवेयर विश्लेषकों को उनके VMware Windows VM को उस मैलवेयर से छिपाने में मदद करने का प्रयास करती है जो विश्लेषण से बचने की कोशिश कर रहा हो। आपकी pafish रेटिंग्स को कम से कम कुछ अंकों तक नीचे लाने की गारंटी ;)

यह स्क्रिप्ट निम्नलिखित कार्य करके इसे पूरा करती है:

• कई रजिस्ट्री कुंजियों का नाम बदलता है जिनका उपयोग मैलवेयर आमतौर पर VM पहचान के लिए करता है।
• VMware प्रक्रियाओं को समाप्त करता है।
• VMware ड्राइवर फ़ाइलों को हटाता है (इससे आपका VM क्रैश नहीं होगा, क्योंकि ये ड्राइवर वैसे भी मेमोरी में लोड रहते हैं!)।
• VMware सहायक फ़ाइलों को हटाता या उनका नाम बदलता है।

अधिक जानकारी के लिए, मेरी ब्लॉग पोस्ट यहाँ देखें: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

नोट: यह स्क्रिप्ट VM पहचान की सभी तकनीकों को कवर नहीं करेगी! VM का पता लगाने के कई तरीके हैं, और इनमें से कई को एक साधारण PowerShell स्क्रिप्ट से ठीक नहीं किया जा सकता। उदाहरण के लिए, RDTSC और टाइमिंग पहचान जैसी तकनीकें कवर नहीं की गई हैं, और न ही CPUID पहचान।

Windows 7 और Windows 10 पर परीक्षण किया गया - संभवतः Windows XP पर भी काम करता है।

कोई बग मिला? मुझे बताएँ!

उपयोग

इस स्क्रिप्ट के काम करने के लिए, आपको इसे सिस्टम (System) विशेषाधिकारों के साथ चलाना होगा! आमतौर पर व्यवस्थापक (Administrator) विशेषाधिकार पर्याप्त नहीं होते!

इसे करने का तरीका यहाँ दिया गया है (Process Hacker का उपयोग करके):

1. PowerShell (powershell.exe) प्रॉम्प्ट शुरू करें।
2. Process Hacker खोलें।
3. PowerShell.exe प्रक्रिया पर राइट-क्लिक करें और "Miscellaneous -> Run As" चुनें।
4. "User Name" ड्रॉप-डाउन में "System" चुनें।

यह एक System शेल लॉन्च करेगा। अब स्क्रिप्ट को सामान्य रूप से चलाएँ:

1. स्क्रिप्ट चलाएँ (नीचे उपयोग के उदाहरण देखें)
2. अपने मैलवेयर को डेटोनेट करें। फ़ायदा उठाएँ।
3. पूरा होने पर, अपने VM को साफ़ स्थिति में रीसेट करें।

उपयोग के उदाहरण:

रजिस्ट्री परिवर्तन करें, VMware फ़ाइलें हटाएँ, और VMware प्रक्रियाओं को समाप्त करें:

• "VMwareCloak.ps1 -all"

सिर्फ़ रजिस्ट्री संशोधन करें:

• "VMwareCloak.ps1 -reg"

सिर्फ़ VMware फ़ाइलें हटाएँ:

• "VMwareCloak.ps1 -files"

सिर्फ़ VMware प्रक्रियाओं को समाप्त करें:

• "VMwareCloak.ps1 -procs"

चेतावनियाँ और अस्वीकरण

• यह कोड बीटा (Beta) में है। मुझे पता है कि मैं इसे बेहतर तरीके से कोड कर सकता था, लेकिन कभी-कभी जल्दी और मोटा-मोटा तरीका ही सबसे अच्छा होता है।
• अपने जोखिम पर उपयोग करें! केवल VM में उपयोग करें, अपने होस्ट पर नहीं।
• इसे चलाने से पहले अपने VM का स्नैपशॉट अवश्य बनाएँ।
• "files" और/या "procs" कमांड लाइन तर्कों का उपयोग करने से संभवतः VM का प्रदर्शन कम हो जाएगा। ऐसा इसलिए है क्योंकि यह स्क्रिप्ट कई फ़ाइलों को हटा देती है जो ग्राफ़िक्स, कीबोर्ड इनपुट आदि जैसे सहायक कार्यों के लिए आवश्यक होती हैं। यदि इससे कुछ गड़बड़ हो जाए, तो बस VM को साफ़ स्थिति में वापस लाएँ।

योगदान और धन्यवाद

• नई सुविधाएँ जोड़ने और कुछ बग ठीक करने के लिए Takashi Matsumoto (Twitter/X: @t_mtsmt) को धन्यवाद!
• नई रजिस्ट्री कुंजी परिवर्तन जोड़ने के लिए MMJv3 (https://github.com/MMJv3) को धन्यवाद!