Исходник Гайд Загрузчик защиты от обнаружения виртуальных машин Vmware. VMwareHardenedLoader.Как скрыть виртуальную машину Vmware от детекта

[wlux.net]

Загрузчик защиты от обнаружения виртуальных машин VMware Hardened

На данный момент поддерживаются только гости Windows (vista~win10) x64.

VMProtect 3.2, Safengine и Themida позволяют гостевой системе VMware оставаться незамеченной (функция защиты от vm).

Что оно делает​

Драйвер VmLoader исправляет SystemFirmwareTable во время выполнения, он удаляет все обнаруживаемые сигнатуры, такие как «VMware», «Virtual», «VMWARE».

Что нужно:

Требуется Visual Studio 2015/2017 и

Пожалуйста, войдите или зерегистрируйтесь, чтобы увидеть скрытый текст.

.

Откройте VmLoader.sln с помощью Visual Studio 2015/2017.

Соберите VmLoader как x64/Release. (Пока нет поддержки x86)

Не забудьте подписать «bin/vmloader.sys», если вы хотите загрузить его в режиме тестовой подписи.

Установка​

Предупреждение​

Не устанавливайте vmtools, все испортите!

Вместо этого используйте TeamViewer / AnyDesk / mstsc / VNC viewer!

1-й шаг: добавьте следующие настройки в .vmx​

hypervisor.cpuid.v0 = "FALSE"
board-id.reflectHost = "TRUE"
hw.model.reflectHost = "TRUE"
serialNumber.reflectHost = "TRUE"
smbios.reflectHost = "TRUE"
SMBIOS.noOEMStrings = "TRUE"
isolation.tools.getPtrLocation.disable = "TRUE"
isolation.tools.setPtrLocation.disable = "TRUE"
isolation.tools.setVersion.disable = "TRUE"
isolation.tools.getVersion.disable = "TRUE"
monitor_control.disable_directexec = "TRUE"
monitor_control.disable_chksimd = "TRUE"
monitor_control.disable_ntreloc = "TRUE"
monitor_control.disable_selfmod = "TRUE"
monitor_control.disable_reloc = "TRUE"
monitor_control.disable_btinout = "TRUE"
monitor_control.disable_btmemspace = "TRUE"
monitor_control.disable_btpriv = "TRUE"
monitor_control.disable_btseg = "TRUE"
monitor_control.restrict_backdoor = "TRUE"

Если у вас есть виртуальный диск SCSI в слоте scsi0 (первый слот) в качестве системного диска, не забудьте добавить

scsi0:0.productID = "Whatever you want"
scsi0:0.vendorID = "Whatever you want"

я использую

scsi0:0.productID = "Tencent SSD"
scsi0:0.vendorID = "Tencent"

2-й шаг: изменить MAC-адрес​

Измените MAC-адрес гостя на любой, кроме следующего:

    TCHAR *szMac[][2] = {
        { _T("\x00\x05\x69"), _T("00:05:69") }, // VMWare, Inc.
        { _T("\x00\x0C\x29"), _T("00:0c:29") }, // VMWare, Inc.
        { _T("\x00\x1C\x14"), _T("00:1C:14") }, // VMWare, Inc.
        { _T("\x00\x50\x56"), _T("00:50:56") },    // VMWare, Inc.
    };

Вы можете добавить

ethernet0.address = "Some random mac address"

В файл vmx вместо изменения MAC-адреса в графическом интерфейсе VMware

ethernet0.address = "00:11:56:20:D2:E8"

3-й шаг: Запустите install.bat в гостевой виртуальной машине с правами администратора.​

Если при запуске службы возникает ошибка, используйте DbgView для захвата выходных данных отладки ядра. вы можете опубликовать сообщение о проблеме с выходной информацией DbgView и с прикрепленным файлом ntoskrnl.exe.

Если ошибок не возникает, то все работает нормально.

Showcase​

VMware guest win8.1 x64 с упакованной программой VMProtect 3.2 (опция защиты от vm включена)




Важно!Информация о виртуальной графической карте VMware может быть обнаружена путем запроса интерфейса DXGI, который можно изменить, отредактировав файлы графического драйвера.

Пожалуйста, войдите или зерегистрируйтесь, чтобы увидеть скрытый текст.

 

[Mafasorel]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.

 

[muk-as]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.

 

[SimpleUser]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.

 

[cardon]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.

 

[Eap0v5k3]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.

 

[Razor78]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.

 

[Akanechi]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

You must be logged in to see the message.