VBoxCloak

一个PowerShell脚本，旨在帮助恶意软件分析师隐藏其VirtualBox Windows虚拟机，以防被可能试图逃避分析的恶意软件检测到。保证能让你的pafish评分至少下降几分 ;)

该脚本通过以下方式实现：

• 重命名恶意软件通常用于检测虚拟机的多个注册表键。
• 终止VirtualBox进程（VBoxService、VBoxTray等）。
• 删除VirtualBox驱动程序文件（这不会导致VirtualBox崩溃，因为这些驱动程序已经加载到内存中！）。
• 删除或重命名System32和SysWOW64目录中的VirtualBox支持文件。

更多信息，请参阅我的博客文章： https://securityliterate.com/hiding-virtual-machines-from-malware-introducing-vmwarecloak-vboxcloak/

注意：此脚本不会涵盖所有虚拟机检测技术！有很多方法可以检测虚拟机，其中许多无法通过简单的PowerShell脚本解决。例如，RDTSC和时序检测等技术没有涵盖，CPUID检测也没有涵盖。

已在Windows 7和Windows 10上测试——可能也适用于Windows XP和Windows 11。

发现任何错误？请告诉我！

用法

1. 在Windows VirtualBox虚拟机上以管理员身份运行VBoxCloak.ps1。
2. 引爆你的恶意软件。获利。
3. 完成后，将虚拟机重置为干净状态。

用法示例：

进行注册表更改、删除VBox文件并终止VBox进程：

• "VBoxCloak.ps1 -all"

仅进行注册表修改：

• "VBoxCloak.ps1 -reg"

仅删除VBox文件：

• "VBoxCloak.ps1 -files"

仅终止VBox进程：

• "VBoxCloak.ps1 -procs"

警告与免责声明

• 此代码处于Beta阶段。我知道我本可以编写得更好，但有时快速而粗糙的方法是最好的。
• 使用风险自负！仅在虚拟机中使用，切勿在主机上使用。
• 确保在运行此脚本之前创建虚拟机的快照。
• 使用"files"和/或"procs"命令行参数可能会导致虚拟机性能下降。这是因为该脚本会删除一些支持图形、键盘输入等功能所需的文件。如果造成任何问题，只需将虚拟机恢复到干净状态即可。