VBoxCloak

Скрипт PowerShell, который помогает аналитикам вредоносного ПО скрывать свои виртуальные машины VirtualBox Windows от вредоносных программ, пытающихся избежать анализа. Гарантированно снизит ваш рейтинг pafish как минимум на несколько пунктов ;)

Скрипт делает следующее:

• Переименовывает несколько ключей реестра, которые вредоносные программы обычно используют для обнаружения ВМ.
• Завершает процессы VirtualBox (VBoxService и VBoxTray и т.д.).
• Удаляет файлы драйверов VirtualBox (это не приведёт к краху VirtualBox, так как эти драйверы всё равно загружены в память!).
• Удаляет или переименовывает вспомогательные файлы VirtualBox в каталогах System32 и SysWOW64.

Дополнительную информацию см. в моём блоге: https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

Примечание: Этот скрипт не покрывает ВСЕ методы обнаружения ВМ! Существует множество способов обнаружения виртуальной машины, и многие из них невозможно устранить простым скриптом PowerShell. Например, такие методы, как RDTSC и временные задержки, не охватываются, как и обнаружение CPUID.

Протестировано на Windows 7 и Windows 10 — вероятно, работает на Windows XP и Windows 11.

Нашли ошибку? Дайте знать!

Использование

1. Просто запустите VBoxCloak.ps1 от имени администратора на вашей виртуальной машине VirtualBox Windows.
2. Запустите вредоносное ПО. Profit.
3. После завершения верните ВМ в чистое состояние.

Примеры использования:

Внести изменения в реестр, удалить файлы VBox и завершить процессы VBox:

• "VBoxCloak.ps1 -all"

Только изменить реестр:

• "VBoxCloak.ps1 -reg"

Только удалить файлы VBox:

• "VBoxCloak.ps1 -files"

Только завершить процессы VBox:

• "VBoxCloak.ps1 -procs"

Предупреждения и отказ от ответственности

• Этот код находится в стадии бета-тестирования. Я знаю, что мог бы написать его лучше, но иногда «быстро и грязно» — это оптимальный вариант.
• Используйте на свой страх и риск! Используйте только в виртуальной машине, НЕ на хосте.
• Обязательно сделайте снимок вашей ВМ перед запуском.
• Использование аргументов командной строки «files» и/или «procs» может снизить производительность ВМ. Это связано с тем, что скрипт удаляет несколько файлов, необходимых для вспомогательных функций, таких как графика, ввод с клавиатуры и т.д. Просто верните ВМ в чистое состояние, если что-то пошло не так.