VBoxCloak

Um script PowerShell que tenta ajudar analistas de malware a ocultar suas VMs Windows do VirtualBox de malwares que possam estar tentando evadir a análise. Garantido para reduzir suas classificações pafish em pelo menos alguns pontos ;)

O script faz isso realizando o seguinte:

• Renomeia várias chaves de registro que malwares tipicamente usam para detecção de VM.
• Mata processos do VirtualBox (VBoxService e VBoxTray, etc.).
• Exclui arquivos de driver do VirtualBox (isso não travará o VirtualBox, já que esses drivers são carregados na memória de qualquer forma!).
• Exclui ou renomeia arquivos de suporte do VirtualBox nos diretórios System32 e SysWOW64.

Para mais informações, veja meu post no blog aqui: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Nota: Este script não cobrirá TODAS as técnicas de detecção de VM! Existem muitas maneiras de detectar uma VM, e muitas delas não podem ser resolvidas com um simples script PowerShell. Por exemplo, técnicas como RDTSC e detecção de temporização não são cobertas, assim como a detecção de CPUID.

Testado no Windows 7 e Windows 10 - Provavelmente funciona no Windows XP e Windows 11 também.

Encontrou algum bug? Avise-me!

Uso

1. Simplesmente execute o VBoxCloak.ps1 como Administrador na sua VM Windows do VirtualBox.
2. Detone seu malware. Lucro.
3. Quando terminar, restaure sua VM para o estado limpo.

Exemplos de uso:

Fazer alterações de registro, remover arquivos VBox e matar processos VBox:

• "VBoxCloak.ps1 -all"

Apenas fazer modificações de registro:

• "VBoxCloak.ps1 -reg"

Apenas remover arquivos VBox:

• "VBoxCloak.ps1 -files"

Apenas matar processos VBox:

• "VBoxCloak.ps1 -procs"

Avisos e Isenções de Responsabilidade

• Este código está em Beta. Eu sei que poderia ter codificado melhor, mas às vezes rápido e sujo é o melhor.
• Use por sua conta e risco! Use apenas em uma VM, e NÃO no seu host.
• Certifique-se de fazer um snapshot da sua VM antes de executar isso.
• Usar os argumentos de linha de comando "files" e/ou "procs" pode resultar em menor desempenho da VM. Isso porque este script remove vários arquivos necessários para funções de suporte como gráficos, entrada de teclado, etc. Basta reverter a VM para o estado limpo se isso estragar algo.