VBoxCloak

Uno script PowerShell che tenta di aiutare gli analisti di malware a nascondere le loro VM Windows VirtualBox da malware che potrebbero cercare di eludere l'analisi. Garantito di ridurre i tuoi punteggi pafish di almeno qualche punto ;)

Lo script realizza questo facendo quanto segue:

• Rinomina diverse chiavi di registro che il malware tipicamente usa per il rilevamento delle VM.
• Termina i processi di VirtualBox (VBoxService e VBoxTray, ecc.).
• Elimina i file dei driver di VirtualBox (questo non causerà il crash di VirtualBox, poiché questi driver sono già caricati in memoria!).
• Elimina o rinomina i file di supporto di VirtualBox nelle directory System32 e SysWOW64.

Per maggiori informazioni, vedi il mio post sul blog qui: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Nota: Questo script non coprirà TUTTE le tecniche di rilevamento delle VM! Ci sono molti modi per rilevare una VM, e molti di questi non possono essere risolti con un semplice script PowerShell. Ad esempio, tecniche come RDTSC e il rilevamento dei tempi non sono coperte, né il rilevamento CPUID.

Testato su Windows 7 e Windows 10 - Probabilmente funziona anche su Windows XP e Windows 11.

Trovato qualche bug? Fammi sapere!

Utilizzo

1. Esegui semplicemente VBoxCloak.ps1 come Amministratore sulla tua VM Windows VirtualBox.
2. Fai detonare il tuo malware. Profitto.
3. Al termine, ripristina la VM allo stato pulito.

Esempi di utilizzo:

Effettua modifiche al registro, rimuove i file VBox e termina i processi VBox:

• "VBoxCloak.ps1 -all"

Solo modifiche al registro:

• "VBoxCloak.ps1 -reg"

Solo rimozione file VBox:

• "VBoxCloak.ps1 -files"

Solo terminazione processi VBox:

• "VBoxCloak.ps1 -procs"

Avvertenze e Dichiarazioni di non responsabilità

• Questo codice è in Beta. So che avrei potuto programmarlo meglio, ma a volte veloce e sporco è la scelta migliore.
• Usalo a tuo rischio! Usalo solo in una VM, e NON sul tuo host.
• Assicurati di fare uno snapshot della tua VM prima di eseguirlo.
• L'uso degli argomenti della riga di comando "files" e/o "procs" può comportare prestazioni inferiori della VM. Questo perché lo script rimuove diversi file necessari per funzioni di supporto come grafica, input da tastiera, ecc. Basta ripristinare la VM allo stato pulito se questo causa problemi.