ayoubfaouzi/al-khaserTécnicas de malware públicas utilizadas na natureza: Máquina Virtual, Emulação, Depuradores, Detecção de Sandbox.
al-khaser é uma aplicação "malware" PoC com boas intenções que visa estressar seu sistema anti-malware. Ela executa uma série de truques comuns de malware com o objetivo de ver se você passa despercebido.
$ ./al-khaser.exe -h
Usage: al-khaser.exe [OPTIONS]
Options:
--check <type> Enable specific check(s). Can be used multiple times. Valid types are:
TLS (Thread Local Storage callback checks)
DEBUG (Anti-debugging checks)
INJECTION (Code injection checks)
GEN_SANDBOX (Generic sandbox checks)
VBOX (VirtualBox detection)
VMWARE (VMware detection)
VPC (Virtual PC detection)
QEMU (QEMU detection)
KVM (KVM detection)
XEN (Xen detection)
WINE (Wine detection)
PARALLELS (Parallels detection)
HYPERV (Hyper-V detection)
CODE_INJECTIONS (Additional code injection techniques)
TIMING_ATTACKS (Timing/sleep-based sandbox evasion)
DUMPING_CHECK (Dumping memory/process checks)
ANALYSIS_TOOLS (Analysis tools detection)
ANTI_DISASSM (Anti-disassembly checks)
--sleep <seconds> Set sleep/delay duration in seconds (default: 600).
--delay <seconds> Alias for --sleep.
-h, --help Show this help message and exit.
Examples:
al-khaser.exe --check DEBUG --check TIMING_ATTACKS --sleep 30
al-khaser.exe --check VMWARE --check QEMU
al-khaser.exe --sleep 30
Você pode baixar os binários compilados (x86, x64) na página de releases deste projeto. A senha dos arquivos 7z pode ser encontrada aqui.
Por favor, se você encontrar algum dos truques anti-análise que já viu em um malware, não hesite em contribuir.
sample.exe or sandbox.exe.