如何使我的操作系统看起来像是虚拟运行的?


10

如今,许多恶意软件都可以检测何时在VMWare,VirtualPC,WINE或什至在诸如AnubisCWSandBox的沙箱中以虚拟化方式运行。

从本质上讲,这意味着恶意软件在虚拟环境中运行时通常会“阻止”或不会恶意运行,以阻止对其真实意图的分析。

我当时的想法是,为什么不让您的PC看起来像虚拟机一样?有谁知道我可能能够做到这一点?


3
仅仅是“在VM或虚拟机管理程序中运行操作系统”答案是否显而易见?
马克·格雷夫

因为我想让我环境中的PC看起来像是VM,因此看起来像是恶意软件。通过这样做,我希望选择不在VM内部运行(以防止分析)的恶意软件将假定这是系统虚拟化的,因此只是分析师测试了……而不是自行运行。这是纵深防御策略的一部分,只是另外一层。

Answers:


9

这不是一个好技术。依靠恶意软件使其表现良好,因为它可能在显微镜下,这有点像依靠猫让它们呆着,因为您告诉它们了。这是一个有趣的想法,但是不值得将其作为反恶意软件解决方案来实现。

话虽如此,正如Marc所建议的那样,如果您希望恶意软件像在虚拟化环境中一样表现自己,则可以在VM或虚拟机管理程序中实际运行您的OS。性能上的损失是您为提高这种安心性所付出的微不足道的代价。

需要注意的另一项内容是,有很多合法的桌面应用程序无法在VM下运行,因为它们的DRM认为它们可能正在进行逆向工程。由此带来的可用性麻烦将是可怕的。


1
“另外需要注意的是,由于VM的DRM认为它们可能正在进行逆向工程,因此有相当数量的合法桌面应用无法在VM下运行。” 你能补充一个例子吗?我希望看到其中一个应用程序。
曼努埃尔·费雷里亚

Securom适用于大多数新游戏,适合初学者。
Paul McMillan,2009年

感谢您的评论。这个想法突然出现在我的脑海,这可能是使我的系统(成千上万)更难以感染恶意软件的一种可能方式。即使使用最新的防病毒产品,防火墙(软件和硬件)和NIDS / HIDS,仍然存在木马下载程序,它们可能会引起头痛。感谢您的意见...这听起来可能不是一个真正的好主意!

奇怪的是,由于我告诉我,我现在不得不发布一个我留下来的关于猫的视频。当然,这使我震惊。
dlamblin

0

那是一个有趣的话题。CodeProject上有关于如何检测你的程序是否是一个虚拟机内运行,一篇文章在这里。看来VMWare方法可能是最容易伪造的方法,因为它涉及访问端口以与主机进行通信。


0

恶意软件使然早晚,可能越早,恶意软件编写者的性质能够,如果你在编造一个虚拟化的操作系统来检测。这只是时间问题。我会将精力集中在其他地方。


只有当每个人都开始伪造虚拟操作系统时,这种情况才会发生。一些黑客是不值得的。
基督教徒


-1

为什么要在系统上安装可疑软件?我认为最好的安全实践是使用或购买来自可靠来源(供应商本身或可靠的开源社区)的软件。另外,购买一个好的安全解决方案;我有NOD32,从来没有,甚至没有一个问题。


因为我正在为雇主进行恶意软件分析。我想知道恶意软件正在尝试访问什么,以及是否正在下载其他有效负载。如果我不能轻易分析它,我将不知道。如果它检测到VM(这很简单),则使用VM几乎没有用。
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.