VMwareCloak

マルウェア解析者が、解析を回避しようとするマルウェアからVMware Windows VMを隠すのを支援しようとするPowerShellスクリプトです。 pafishのスコアを少なくとも数ポイントは確実に下げられます ;)

このスクリプトは、以下の方法でこれを実現します:

• マルウェアがVM検出に一般的に使用する複数のレジストリキーの名前を変更します。
• VMwareプロセスを強制終了します。
• VMwareドライバファイルを削除します (これらのドライバはとにかくメモリにロードされているため、VMはクラッシュしません!)。
• VMwareサポートファイルを削除または名前変更します。

詳細については、こちらのブログ記事を参照してください: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

注: このスクリプトは、すべてのVM検出テクニックを網羅するわけではありません! VMを検出する方法は多数あり、その多くは単純なPowerShellスクリプトでは修正できません。たとえば、RDTSCやタイミング検出などのテクニックは対象外であり、CPUID検出も対象外です。

Windows 7およびWindows 10でテスト済み - Windows XPでもおそらく動作します。

バグを見つけましたか? お知らせください!

使い方

このスクリプトを動作させるには、System権限で実行する必要があります! 通常、管理者権限では不十分です!

その方法は次のとおりです (Process Hackerを使用):

1. PowerShell (powershell.exe) プロンプトを起動します。
2. Process Hackerを開きます。
3. PowerShell.exeプロセスを右クリックし、「Miscellaneous -> Run As」を選択します。
4. 「User Name」ドロップダウンで「System」を選択します。

これにより、Systemシェルが起動します。次に、通常どおりスクリプトを実行します:

1. スクリプトを実行します (以下の使用例を参照)
2. マルウェアを実行します。成功です。
3. 完了したら、VMをクリーンな状態にリセットします。

使用例:

レジストリ変更、VMwareファイルの削除、VMwareプロセスの強制終了を行う場合:

• "VMwareCloak.ps1 -all"

レジストリ変更のみを行う場合:

• "VMwareCloak.ps1 -reg"

VMwareファイルの削除のみを行う場合:

• "VMwareCloak.ps1 -files"

VMwareプロセスの強制終了のみを行う場合:

• "VMwareCloak.ps1 -procs"

警告と免責事項

• このコードはベータ版です。もっとうまくコーディングできたことは分かっていますが、時には迅速で粗い方法が最善です。
• 自己責任で使用してください! VM内でのみ使用し、ホスト上では使用しないでください。
• 実行する前に、必ずVMのスナップショットを作成してください。
• 「files」や「procs」のコマンドライン引数を使用すると、VMのパフォーマンスが低下する可能性があります。これは、このスクリプトがグラフィックスやキーボード入力などのサポート機能に必要な複数のファイルを削除するためです。何か問題が発生した場合は、VMをクリーンな状態に戻してください。

貢献と謝辞

• 新機能の追加といくつかのバグ修正をしてくれたTakashi Matsumoto氏 (Twitter/X: @t_mtsmt) に感謝します!
• 新しいレジストリキー変更を追加してくれたMMJv3氏 (https://github.com/MMJv3) に感謝します!