Wiele złośliwych programów jest obecnie w stanie wykryć, kiedy jest zwirtualizowane pod VMWare, VirtualPC, WINE, a nawet w piaskownicy, takiej jak Anubis lub CWSandBox .
Zasadniczo oznacza to, że złośliwe oprogramowanie często „powstrzymuje” lub nie działa złośliwie podczas działania w środowisku wirtualnym w celu udaremnienia analizy jego prawdziwych zamiarów.
Zastanawiam się więc, dlaczego nie sprawić, by komputer wyglądał na zwirtualizowany? Czy ktoś wie, jak mogę to zrobić?
Odpowiedzi:
To nie jest dobra technika. Poleganie na złośliwym oprogramowaniu, które zachowuje się ładnie, ponieważ może znajdować się pod mikroskopem, przypomina trochę poleganie na kotach, które pozostaną na miejscu, ponieważ tak im kazałeś. To ciekawy pomysł, ale nie warty wdrożenia jako rozwiązanie anty-malware.
To powiedziawszy, jak sugerował Marc - po prostu uruchom swój system operacyjny na maszynie wirtualnej lub hiperwizorze, jeśli chcesz, aby złośliwe oprogramowanie zachowywało się tak, jakby działało w środowisku zwirtualizowanym. Hitem wydajności jest niewielka cena, którą płacisz za tak większy spokój ducha.
Inną ważną rzeczą jest to, że istnieje spora liczba legalnych aplikacji komputerowych, które nie działają na maszynach wirtualnych, ponieważ ich DRM sądzi, że mogą być w trakcie inżynierii wstecznej. Problem związany z użytecznością byłby straszny.
źródło
To interesujący temat. CodeProject miał artykuł o tym, jak wykryć, czy twój program działał w vm, tutaj . Wygląda na to, że podejście VMWare może być najłatwiejsze do sfałszowania, ponieważ wymaga dostępu do portu w celu komunikacji z hostem.
źródło
Natura złośliwego oprogramowania narzuca, że prędzej czy później, prawdopodobnie wcześniej, twórcy szkodliwego oprogramowania będą mogli wykryć, czy fałszujesz zwirtualizowany system operacyjny. To tylko kwestia czasu. Swoje wysiłki skoncentrowałbym gdzie indziej.
źródło
W systemie Linux istnieją skrypty PERL, takie jak virt-what i imvirt. Spójrz na ostatni na http://micky.ibh.net/~liske/imvirt.html
źródło
Dlaczego instalujesz podejrzane oprogramowanie w swoim systemie? Myślę, że najlepszą praktyką bezpieczeństwa jest używanie lub kupowanie oprogramowania z wiarygodnych źródeł (samego dostawcy lub niezawodnej społeczności open source). Ponadto kup dobre rozwiązanie bezpieczeństwa; Mam NOD32 i nigdy, ani razu, nie miałem problemu.
źródło