VBoxCloak

악성코드 분석가들이 분석을 회피하려는 악성코드로부터 VirtualBox Windows VM을 숨길 수 있도록 도와주는 PowerShell 스크립트입니다. pafish 점수를 최소 몇 포인트 낮출 수 있습니다 ;)

이 스크립트는 다음을 수행하여 이를 달성합니다:

• 악성코드가 VM 탐지에 일반적으로 사용하는 여러 레지스트리 키 이름을 변경합니다.
• VirtualBox 프로세스(VBoxService, VBoxTray 등)를 종료합니다.
• VirtualBox 드라이버 파일을 삭제합니다(이 드라이버는 이미 메모리에 로드되어 있으므로 VirtualBox가 충돌하지 않습니다!).
• System32 및 SysWOW64 디렉터리에서 VirtualBox 지원 파일을 삭제하거나 이름을 변경합니다.

자세한 내용은 제 블로그 게시물을 참조하세요: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

참고: 이 스크립트는 모든 VM 탐지 기술을 다루지는 않습니다! VM을 탐지하는 방법은 다양하며, 그 중 많은 방법이 간단한 PowerShell 스크립트로 해결되지 않습니다. 예를 들어 RDTSC 및 타이밍 탐지, CPUID 탐지 등은 다루지 않습니다.

Windows 7 및 Windows 10에서 테스트되었습니다. Windows XP 및 Windows 11에서도 작동할 가능성이 있습니다.

버그를 발견하셨나요? 알려주세요!

사용법

1. Windows VirtualBox VM에서 VBoxCloak.ps1을 관리자 권한으로 실행합니다.
2. 악성코드를 실행합니다. 성공.
3. 작업이 완료되면 VM을 깨끗한 상태로 되돌립니다.

사용 예:

레지스트리 변경, VBox 파일 제거, VBox 프로세스 종료:

• "VBoxCloak.ps1 -all"

레지스트리 수정만 수행:

• "VBoxCloak.ps1 -reg"

VBox 파일만 제거:

• "VBoxCloak.ps1 -files"

VBox 프로세스만 종료:

• "VBoxCloak.ps1 -procs"

경고 및 면책 조항

• 이 코드는 베타 버전입니다. 더 잘 코딩할 수 있었겠지만, 때로는 빠르고 대충 하는 것이 최선입니다.
• 사용에 따른 책임은 본인에게 있습니다! VM에서만 사용하고 호스트에서는 사용하지 마십시오.
• 실행하기 전에 VM의 스냅샷을 반드시 생성하십시오.
• "files" 및/또는 "procs" 명령줄 인수를 사용하면 VM 성능이 저하될 수 있습니다. 이 스크립트는 그래픽, 키보드 입력 등의 지원 기능에 필요한 여러 파일을 제거하기 때문입니다. 문제가 발생하면 VM을 깨끗한 상태로 되돌리십시오.