Исходник Гайд Загрузчик защиты от обнаружения виртуальных машин Vmware. VMwareHardenedLoader.Как скрыть виртуальную машину Vmware от детекта

[wlux.net]

Загрузчик защиты от обнаружения виртуальных машин VMware Hardened

На данный момент поддерживаются только гости Windows (vista~win10) x64.

VMProtect 3.2, Safengine и Themida позволяют гостевой системе VMware оставаться незамеченной (функция защиты от vm).

Что оно делает​

Драйвер VmLoader исправляет SystemFirmwareTable во время выполнения, он удаляет все обнаруживаемые сигнатуры, такие как «VMware», «Virtual», «VMWARE».

Что нужно:

Требуется Visual Studio 2015/2017 и

Пожалуйста, войдите или зерегистрируйтесь, чтобы увидеть скрытый текст.

.

Откройте VmLoader.sln с помощью Visual Studio 2015/2017.

Соберите VmLoader как x64/Release. (Пока нет поддержки x86)

Не забудьте подписать «bin/vmloader.sys», если вы хотите загрузить его в режиме тестовой подписи.

Установка​

Предупреждение​

Не устанавливайте vmtools, все испортите!

Вместо этого используйте TeamViewer / AnyDesk / mstsc / VNC viewer!

1-й шаг: добавьте следующие настройки в .vmx​

hypervisor.cpuid.v0 = "FALSE"
board-id.reflectHost = "TRUE"
hw.model.reflectHost = "TRUE"
serialNumber.reflectHost = "TRUE"
smbios.reflectHost = "TRUE"
SMBIOS.noOEMStrings = "TRUE"
isolation.tools.getPtrLocation.disable = "TRUE"
isolation.tools.setPtrLocation.disable = "TRUE"
isolation.tools.setVersion.disable = "TRUE"
isolation.tools.getVersion.disable = "TRUE"
monitor_control.disable_directexec = "TRUE"
monitor_control.disable_chksimd = "TRUE"
monitor_control.disable_ntreloc = "TRUE"
monitor_control.disable_selfmod = "TRUE"
monitor_control.disable_reloc = "TRUE"
monitor_control.disable_btinout = "TRUE"
monitor_control.disable_btmemspace = "TRUE"
monitor_control.disable_btpriv = "TRUE"
monitor_control.disable_btseg = "TRUE"
monitor_control.restrict_backdoor = "TRUE"

Если у вас есть виртуальный диск SCSI в слоте scsi0 (первый слот) в качестве системного диска, не забудьте добавить

scsi0:0.productID = "Whatever you want"
scsi0:0.vendorID = "Whatever you want"

я использую

scsi0:0.productID = "Tencent SSD"
scsi0:0.vendorID = "Tencent"

2-й шаг: изменить MAC-адрес​

Измените MAC-адрес гостя на любой, кроме следующего:

    TCHAR *szMac[][2] = {
        { _T("\x00\x05\x69"), _T("00:05:69") }, // VMWare, Inc.
        { _T("\x00\x0C\x29"), _T("00:0c:29") }, // VMWare, Inc.
        { _T("\x00\x1C\x14"), _T("00:1C:14") }, // VMWare, Inc.
        { _T("\x00\x50\x56"), _T("00:50:56") },    // VMWare, Inc.
    };

Вы можете добавить

ethernet0.address = "Some random mac address"

В файл vmx вместо изменения MAC-адреса в графическом интерфейсе VMware

ethernet0.address = "00:11:56:20:D2:E8"

3-й шаг: Запустите install.bat в гостевой виртуальной машине с правами администратора.​

Если при запуске службы возникает ошибка, используйте DbgView для захвата выходных данных отладки ядра. вы можете опубликовать сообщение о проблеме с выходной информацией DbgView и с прикрепленным файлом ntoskrnl.exe.

Если ошибок не возникает, то все работает нормально.

Showcase​

VMware guest win8.1 x64 с упакованной программой VMProtect 3.2 (опция защиты от vm включена)




Важно!Информация о виртуальной графической карте VMware может быть обнаружена путем запроса интерфейса DXGI, который можно изменить, отредактировав файлы графического драйвера.

Пожалуйста, войдите или зерегистрируйтесь, чтобы увидеть скрытый текст.

 

[Mafasorel]

Эта статья отлично объясняет концепцию защиты от обнаружения виртуальных машин и как VMware Hardened может помочь в этом. Особенно интересно узнать о механизмах защиты, которые используются для обнаружения виртуальных машин и как они могут быть обходны.

 

[muk-as]

собирать не обязательно. уже собранный с бат файлами установки и удаления там имеется по ссылке

Пожалуйста, войдите или зерегистрируйтесь, чтобы увидеть скрытый текст.

 

[SimpleUser]

Кто разбирается, разжуйте пожалуйста подробно, что тут надо делать? Всё скачал, не могу запустить файл vmloader.sys. Его вообще надо запускать? Пошагово объясните пожалуйста. Для среднего пользователя тут вообще ничего не понятно, написано всё очень размыто.

 

[cardon]

reflectHost палит железо реального пк?

 

[Eap0v5k3]

Важно!Информация о виртуальной графической карте VMware может быть обнаружена путем запроса интерфейса DXGI, который можно изменить, отредактировав файлы графического драйвера.

И как их отредактировать ? Гайд на эту тему есть ?

 

[Razor78]

И как файлы графического драйвера редактировать ?

 

[Akanechi]

Вряд ли мне поможет, но спасибо за перевод гитхаба)