Jump to content
DsMlw

Malwares que identificam VM

Recommended Posts

Boa tarde, galera!

Atualmente estou fazendo algumas análises de malware, e ultimamente estou me deparando com alguns binários que verificam se estou em um ambiente virtualizado ou não, se estiver ele não executa e acaba deletando o binário. 

Como estou iniciando agora o curso de ER (que nosso amigo Mercês está fazendo e disponibilizando no youtube) não estou conseguindo(ainda) identificar onde o binário checa a utilização de VM e tal.

A questão acaba se tornando a seguinte,  para pular esse processo de verificação de VM que o binário faz é muito complexo?

 

Forte abraço.

Share this post


Link to post
Share on other sites

Boa tarde @DsMlw, tudo bem?

Legal que está iniciando no curso =). Sobre "pular" a técnica... isso depende muito da técnica em si, saca? Não tem um método genérico pra todas, pelo menos eu não conheço. Você tem mais alguma informação sobre?

Abs

Share this post


Link to post
Share on other sites

Opa, beleza @Leandro Fróes , e contigo?

Poise foi o que imaginei, cada binário tem seu método para isso. Tentei fazer o download dele agora, mas o link que redirecionava para o malware está down.

Valeu aí.

abraços 

Share this post


Link to post
Share on other sites

Se estiver questionando sobre Windows, recomendo ler o livro do Peter Ferrie, basicamente ele da um apanhado geral sobre técnicas de "Anti-Debugging" que foram introduzidas desde o Windows NT 3.1 e como manipular o resultado da maioria das técnicas utilizadas por malwares que você irá encontrar, como por exemplo: IsDebuggerPresent, que espera um valor diferente de "zero" para verificar se o mesmo encontra-se em um contexto de debugging e por ai vai, boa leitura!

Share this post


Link to post
Share on other sites
Posted (edited)

Olá @DsMlw, blz?

Acho que está a procura disto:

Al-Khaser, é um malware que visa avaliar seu Sistema de segurança. Ele realiza um monte de testes com o objetivo de ver se consegue ser detectado. Inclusive pode detectar VMs.

Spoiler

al-khaser.thumb.png.dd23ff61539c728e800b4902195072b4.png

 

Edited by kassane
citação errada
  • Curtir 1
  • l33t 1

Share this post


Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.


  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...