Stealth Virtualisatie: Een Tool voor het Verbergen van VM-Sporen in VirtualBox

Wanneer een Virtuele Omgeving Zichzelf Verraden

Heb je ooit een verdacht bestand aangetroffen dat zich anders gedraagt in een virtuele machine dan op echte hardware? Veel moderne malware kan VM's detecteren en hun gedrag aanpassen om analyse te bemoeilijken. Dit is precies het probleem dat Mikael's (nsmfoo) anti-detectie script oplost.

Wat is antivmdetection?

Dit is een Python-script dat genereert:

• Een sjabloon voor VirtualBox-configuratie (draait op de host)
• Een PowerShell-script voor het fijnafstellen van een Windows gast-OS
• Een DSDT-dump (ACPI-tabellen)

Het belangrijkste voordeel is de aanpak zonder de VirtualBox-kernel aan te passen. Alle wijzigingen worden aangebracht via standaard API's en instellingen.

Wie is dit voor?

• Malware-analisten
• Beveiligingsonderzoekers
• Ontwikkelaars van antivirusoplossingen
• Cybersecurity-liefhebbers

Hoe het werkt: 5 Belangrijke Functies

1. Hardware-functie maskeren

   • CPU- en BIOS-ID-vervalsing
   • Genereren van realistische firmware-release-datum
   • Schijfcontroller-configuratie (IDE/SATA)

2. Willekeurige systeemparameters

   • Computernaam en gebruikersnaam
   • Schijf VolumeID's
   • Klembord
   • Achtergrondafbeeldingen van het bureaublad

3. Een geloofwaardige omgeving creëren

   • Genereren van "rommel"-documenten
   • Bestandskoppelingen configureren
   • Gebruikersactiviteit simuleren

4. Windows-registermanipulatie

   • ProductId en DigitalProductId-vervalsing
   • Licentiesleutelsporen opruimen
   • Internet Explorer-parameterconfiguratie

5. Flexibele configuratie

   • Ondersteuning voor Windows 7 en 10
   • Mogelijkheid om aangepaste naamlijsten voor willekeurige selectie op te geven
   • Scheiding van instellingen tussen die welke en niet welke een herstart vereisen

Technische Implementatiedetails

Het script maakt gebruik van:

• Python 3 voor sjabloongeneratie
• ACPI-tools voor het werken met DSDT-tabellen
• Systeemhulpprogramma's (dmidecode, smartmontools)
• Windows PowerShell voor het fijnafstellen van het gast-OS

Architecturaal is de oplossing verdeeld in twee delen:

1. Sjabloongenerator (host)
2. Fijnafstellingsscript (gast)

Praktische Toepassingen

Scenario 1: Malware-analyse

Wanneer je het gedrag van malware moet bestuderen die controleert op virtualisatie-indicatoren.

Scenario 2: Beveiligingsmechanismen testen

Controleren hoe goed je product VM's detecteert in pentest-scenario's.

Scenario 3: Trainingsomgevingen creëren

Realistische virtuele machines voorbereiden voor informatiebeveiligingscursussen.

Configuratievoorbeeld

# На хосте
sudo apt install python3-pip libcdio-utils acpica-tools mesa-utils smartmontools
sudo pip3 install -r requirements.txt
wget https://download.sysinternals.com/files/VolumeId.zip
wget https://www.nirsoft.net/utils/devmanview-x64.zip
sudo python3 antivmdetect.py
/bin/bash generated_script.sh my-vm-name

# В гостевой ОС
# После первого запуска PowerShell-скрипта требуется перезагрузка

Beperkingen

• Werkt alleen met VirtualBox
• Vereist handmatige interventie voor sommige instellingen
• Geen ondersteuning voor recente Windows 11-versies

Conclusie: Is het de moeite waard om te proberen?

Het antivmdetection-project is een uitstekende oplossing voor:

• Onderzoekers die een "onzichtbare" VM nodig hebben
• Beveiligingsprofessionals
• Iedereen die met verdachte uitvoerbare bestanden werkt

Hoewel het project sinds 2022 niet meer is bijgewerkt, blijft de kernfunctionaliteit relevant. Voor eenvoudige scenario's werkt het script out-of-the-box, en de modulaire structuur maakt het gemakkelijk aan te passen aan je behoeften.

Ik raad aan om het te proberen als je:

• Malware-gedrag wilt controleren in een "realistische" omgeving
• Je VM-detectiesystemen wilt testen
• Een trainingslab wilt creëren voor malware-analysecursussen

Het project is beschikbaar onder de MIT-licentie — je kunt het vrij gebruiken en aanpassen voor je taken.