VMwareCloak

Um script PowerShell que tenta ajudar analistas de malware a ocultar suas VMs Windows VMware de malware que possa estar tentando evadir a análise. Garantido para reduzir suas pontuações no pafish em pelo menos alguns pontos ;)

O script faz isso através do seguinte:

• Renomeia várias chaves de registro que o malware normalmente usa para detecção de VM.
• Mata processos VMware.
• Exclui arquivos de driver VMware (isso não derrubará sua VM, já que esses drivers estão carregados na memória de qualquer forma!).
• Exclui ou renomeia arquivos de suporte VMware.

Para mais informações, veja meu post no blog aqui: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Nota: Este script não cobre TODAS as técnicas de detecção de VM! Existem muitas maneiras de detectar uma VM, e muitas delas não podem ser resolvidas com um simples script PowerShell. Por exemplo, técnicas como RDTSC e detecção de timing não são cobertas, assim como a detecção por CPUID.

Testado no Windows 7 e Windows 10 - Provavelmente funciona também no Windows XP.

Encontrou algum bug? Me avise!

Uso

Para que este script funcione, você deve executá-lo com privilégios de Sistema! Privilégios de Administrador geralmente não são suficientes!

Veja como fazer isso (usando Process Hacker):

1. Inicie um prompt do PowerShell (powershell.exe).
2. Abra o Process Hacker.
3. Clique com o botão direito no processo PowerShell.exe e selecione "Miscellaneous -> Run As".
4. No menu suspenso "User Name", selecione "System".

Isso abrirá um shell como Sistema. Agora execute o script normalmente:

1. Execute o script (veja os exemplos de uso abaixo)
2. Detone seu malware. Lucro.
3. Quando terminar, restaure sua VM para o estado limpo.