VMwareCloak

악성코드 분석가가 분석을 회피하려는 악성코드로부터 VMware Windows VM을 숨기는 데 도움을 주기 위한 PowerShell 스크립트입니다. pafish 점수를 최소 몇 점은 낮춰줄 것이 보장됩니다 ;)

이 스크립트는 다음을 수행하여 이를 달성합니다:

• 악성코드가 일반적으로 VM 탐지에 사용하는 여러 레지스트리 키의 이름을 바꿉니다.
• VMware 프로세스를 종료합니다.
• VMware 드라이버 파일을 삭제합니다 (이 드라이버는 어차피 메모리에 로드되어 있으므로 VM이 충돌하지 않습니다!).
• VMware 지원 파일을 삭제하거나 이름을 바꿉니다.

자세한 내용은 여기 내 블로그 게시물을 참조하세요: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

참고: 이 스크립트가 모든 VM 탐지 기법을 다루는 것은 아닙니다! VM을 탐지하는 방법은 매우 많으며, 그중 상당수는 간단한 PowerShell 스크립트로 해결할 수 없습니다. 예를 들어 RDTSC 및 타이밍 탐지와 같은 기법은 다루지 않으며, CPUID 탐지도 다루지 않습니다.

Windows 7 및 Windows 10에서 테스트됨 - 아마 Windows XP에서도 작동할 것입니다.

버그를 발견하셨나요? 알려주세요!

사용법

이 스크립트가 작동하려면 System 권한으로 실행해야 합니다! 관리자 권한으로는 보통 충분하지 않습니다!

다음은 이를 수행하는 방법입니다 (Process Hacker 사용):

1. PowerShell(powershell.exe) 프롬프트를 시작합니다.
2. Process Hacker를 엽니다.
3. PowerShell.exe 프로세스를 마우스 오른쪽 버튼으로 클릭하고 "Miscellaneous -> Run As"를 선택합니다.
4. "User Name" 드롭다운에서 "System"을 선택합니다.

그러면 System 셸이 생성됩니다. 이제 평소처럼 스크립트를 실행합니다:

1. 스크립트를 실행합니다 (아래 사용 예시 참조)
2. 악성코드를 실행합니다. 이득을 봅니다.
3. 완료되면 VM을 깨끗한 상태로 되돌립니다.

사용 예시:

레지스트리 변경, VMware 파일 제거, VMware 프로세스 종료:

• "VMwareCloak.ps1 -all"

레지스트리만 변경:

• "VMwareCloak.ps1 -reg"

VMware 파일만 제거:

• "VMwareCloak.ps1 -files"

VMware 프로세스만 종료:

• "VMwareCloak.ps1 -procs"

경고 및 고지 사항

• 이 코드는 베타 버전입니다. 더 나은 코드로 작성할 수 있었다는 것을 알고 있지만, 때로는 빠르고 대충 만든 코드가 최선입니다.
• 사용에 따른 책임은 본인에게 있습니다! VM에서만 사용하고, 호스트에서는 사용하지 마십시오!
• 실행 전에 반드시 VM 스냅샷을 만들어 두십시오.
• "files" 및/또는 "procs" 명령줄 인수를 사용하면 VM 성능이 저하될 가능성이 높습니다. 이는 이 스크립트가 그래픽, 키보드 입력 등의 지원 기능에 필요한 여러 파일을 제거하기 때문입니다. 문제가 발생하면 VM을 깨끗한 상태로 되돌리면 됩니다.

기여 및 감사의 말

• 새로운 기능을 추가하고 일부 버그를 수정해 주신 Takashi Matsumoto(Twitter/X: @t_mtsmt)님께 감사드립니다!
• 새로운 레지스트리 키 변경 사항을 추가해 주신 MMJv3(https://github.com/MMJv3)님께 감사드립니다!