Umgehung der Malware-VM-Erkennung: Spoofing eines CPU-Lüfters über benutzerdefiniertes SMBIOS

Malware prüft oft das Fehlen von Hardwarekomponenten, die typischerweise nicht in virtuellen Maschinen emuliert werden (wie ein CPU-Lüfter), um die Analyse zu vermeiden. Dieser Beitrag beschreibt, wie diese Erkennung umgangen werden kann, indem die SMBIOS-Daten der virtuellen Maschine modifiziert werden, um einen CPU-Lüfter zu simulieren. Der Autor erklärt detailliert die Schritte für Xen- und QEMU/KVM-Umgebungen, einschließlich des Abrufens von SMBIOS-Daten, der Erstellung einer benutzerdefinierten SMBIOS-Datei und der Konfiguration der VM. Der Beitrag hebt auch die Notwendigkeit hervor, die SMBIOS-Daten des Typs 28 (Temperatursonde) in Xen zusätzlich zu verarbeiten, um die WMI erfolgreich zu täuschen.