Virtualización Sigilosa: Una Herramienta para Ocultar Rastros de Máquinas Virtuales en VirtualBox

Cuando un Entorno Virtual se Delata a Sí Mismo

¿Alguna vez has encontrado un archivo sospechoso que se comporta de manera diferente en una máquina virtual que en hardware real? Muchas cepas de malware modernas pueden detectar máquinas virtuales y alterar su comportamiento para complicar el análisis. Este es exactamente el problema que resuelve el script anti-detección de Mikael (nsmfoo).

¿Qué es antivmdetection?

Este es un script en Python que genera:

• Una plantilla para la configuración de VirtualBox (se ejecuta en el host)
• Un script de PowerShell para ajustar finamente un sistema operativo invitado Windows
• Un volcado de DSDT (tablas ACPI)

La principal ventaja es el enfoque sin modificar el kernel de VirtualBox. Todos los cambios se realizan a través de APIs y configuraciones estándar.

¿Para quién es esto?

• Analistas de malware
• Investigadores de seguridad
• Desarrolladores de soluciones antivirus
• Entusiastas de la ciberseguridad

Cómo Funciona: 5 Características Clave

1. Enmascaramiento de Características de Hardware

   • Falsificación de ID de CPU y BIOS
   • Generación de fechas de lanzamiento de firmware realistas
   • Configuración del controlador de disco (IDE/SATA)

2. Randomización de Parámetros del Sistema

   • Nombre de computadora y usuario
   • VolumeIDs de disco
   • Portapapeles
   • Imágenes de fondo del escritorio

3. Creación de un Entorno Creíble

   • Generación de documentos "basura"
   • Configuración de asociaciones de archivos
   • Simulación de actividad del usuario

4. Manipulación del Registro de Windows

   • Falsificación de ProductId y DigitalProductId
   • Limpieza de rastros de claves de licencia
   • Configuración de parámetros de Internet Explorer

5. Configuración Flexible

   • Soporte para Windows 7 y 10
   • Capacidad de especificar listas de nombres personalizadas para la randomización
   • Separación de configuraciones entre las que requieren y no requieren reinicio

Detalles de Implementación Técnica

El script utiliza:

• Python 3 para la generación de plantillas
• Herramientas ACPI para trabajar con tablas DSDT
• Utilidades del sistema (dmidecode, smartmontools)
• Windows PowerShell para ajustar finamente el sistema operativo invitado

Arquitectónicamente, la solución se divide en dos partes:

1. Generador de plantillas (host)
2. Script de ajuste fino (guest)

Aplicaciones Prácticas

Escenario 1: Análisis de Malware

Cuando necesitas estudiar el comportamiento de malware que verifica indicadores de virtualización.

Escenario 2: Pruebas de Mecanismos de Protección

Verificar qué tan bien tu producto detecta máquinas virtuales en escenarios de pentesting.

Escenario 3: Creación de Entornos de Entrenamiento

Preparar máquinas virtuales realistas para cursos de seguridad de la información.

Ejemplo de Configuración

# На хосте
sudo apt install python3-pip libcdio-utils acpica-tools mesa-utils smartmontools
sudo pip3 install -r requirements.txt
wget https://download.sysinternals.com/files/VolumeId.zip
wget https://www.nirsoft.net/utils/devmanview-x64.zip
sudo python3 antivmdetect.py
/bin/bash generated_script.sh my-vm-name

# В гостевой ОС
# После первого запуска PowerShell-скрипта требуется перезагрузка

Limitaciones

• Funciona solo con VirtualBox
• Requiere intervención manual para algunas configuraciones
• Sin soporte para versiones recientes de Windows 11

Conclusión: ¿Vale la Pena Probarlo?

El proyecto antivmdetection es una excelente solución para:

• Investigadores que necesitan una máquina virtual "invisible"
• Profesionales de seguridad
• Cualquiera que trabaje con ejecutables sospechosos

Aunque el proyecto no se ha actualizado desde 2022, su funcionalidad principal sigue siendo relevante. Para escenarios simples, el script funciona de inmediato, y su estructura modular facilita adaptarlo a tus necesidades.

Recomiendo probarlo si necesitas:

• Verificar el comportamiento de malware en un entorno "realista"
• Probar tus sistemas de detección de máquinas virtuales
• Crear un laboratorio de entrenamiento para cursos de análisis de malware

El proyecto está disponible bajo la licencia MIT — puedes usarlo y modificarlo libremente para tus tareas.