VMWareのプログラムによる仮想マシンの検出をバイパスします

ウイルスソフトウェア開発者、および単にプログラムを元に戻したくない開発者は、起動またはインストールの段階で仮想マシンを確認し、検出された場合、動作を拒否するか、完全に自己破壊します。 猫の下で、この問題を解決する方法を説明します。



VMWare Fusion for Macを使用しましたが、Workstation for Winでも同様に機能します。



1)動作するには、新しくインストールされたシステムが必要です。既存のシステムに変更を加える方法が見つかりませんでした。



仮想ディスクを準備し、通常のようにシステムを指定します。インストールされたマシンの設定には、Isolationと呼ばれるこの項目があり、ホストOSとのデータ交換をオフにします。



2)次に、VMWareでマシンを作成する段階で作成されたVMX構成ファイルを見つけ、最後に行を追加する必要があります。



isolation.tools.getPtrLocation.disable = "TRUE"

isolation.tools.setPtrLocation.disable = "TRUE"

isolation.tools.setVersion.disable = "TRUE"

isolation.tools.getVersion.disable = "TRUE"

monitor_control.disable_directexec = "TRUE"

monitor_control.disable_chksimd = "TRUE"

monitor_control.disable_ntreloc = "TRUE"

monitor_control.disable_selfmod = "TRUE"

monitor_control.disable_reloc = "TRUE"

monitor_control.disable_btinout = "TRUE"

monitor_control.disable_btmemspace = "TRUE"

monitor_control.disable_btpriv = "TRUE"

monitor_control.disable_btseg = "TRUE"


これらのオプションは、メモリアドレススペースやカウンタの追跡などの高度なチェックを通じて、プログラムが仮想環境を検出するのを防ぎます。



重要! インストールのセットアップ段階で「高速インストール」、「クイックインストール」などのオプションがある場合は、それらをオフにします。 また、インストールされたシステムにVMWareツールをインストールしないでください。 一部のソフトウェアには、このパッケージの可用性も含まれています。



3)ファイルを保存し、システムのインストーラーでISOをダウンロードするようにポイントし、通常どおりOSをインストールします。



4)仮想環境を好まないプログラムの大部分はステップ2で切り捨てたチェックを超えないという事実にもかかわらず、特に永続的なものはさらに進んで、たとえば仮想コントローラーの名前のように見えるすべてのものを検索しようとしますドライブ。



Windowsでそれらを無効にするには、HKLM \ SYSTEM \ CurrentControlSet \ Services \ Disk \ Enumブランチのレジストリエディターに移動します。 ご覧のとおり、ディスクが仮想であるという事実への明確な参照があります。









VMware、Virtual、Venなどをパラメーターから削除して変更し、そのように保存する必要があります。



また、ディスク変数だけでなく、IntelまたはIBMでVMware / Virtualを検索することにより、レジストリで変更されるすべてのものを置き換えることも理にかなっています。



その後、実験の頑固なオブジェクトを実行してみてください-ケースの70%で、説明されている手順は、仮想環境のテストに合格するのに役立ちます。



重要! HKLM \ SYSTEM \ CurrentControlSet \ Services \ Disk \ Enumの値は、再起動するたびに上書きされるため、新しいシステムを起動するたびに変更する必要があります。



@DenisoidからのUPD:



当然、これは網羅的なガイドではなく、一部のソフトウェアは次の方法を使用して仮想システムを定義しようとする場合もあります。



1)MACアドレスの範囲を確認する(仮想マシンを起動する前に、仮想ネットワークアダプターの設定で単純に置換)

2)WinAPIを使用して、OS構成およびその他のシステム情報(FirmwareTable)をポーリングする

3)低レベルのトリック。


Pafishを使用して、検出から自分がどれだけ保護されているかを確認したり、開発者が提供する他の一般的なサンドボックスおよび仮想マシン検出ツールに慣れたりすることができます。







まだあなたが自分を手放すことができる場所があるという事実にもかかわらず、提案された方法は、仮想環境、この場合はVMWareで動作したくないほとんどのソフトウェアの裏をかかせます。



ご覧のように、仮想マシンにより多くのシステムリソースを割り当てることにより、機密性を向上させることもできます。 メモリに関しては、1024の倍数の値を選択する価値があります。



記事をマスターし、賢明なコメントで補足するのを助けてくれた皆さんに感謝します!



All Articles