反向探测>病毒虚拟机'特征

作为反病毒从业者常常使用一些在线虚拟机先行检查一下目标程序的性质.不仅方便简洁,还可以防止花不必要的时间在合法的程序上.
但是这样真的那么靠谱吗?其实如果恶意程序能够探测到开放杀软黑盒虚拟机内部结构并作以伪装可能会误导我们.
以下是两个著名的服务:
1金山火眼-使用者超过千万.
2Comodo-著名老牌在线行为检测虚拟机

理论上,只要我们的”内线”-提交的文件,能让对方按照我们的意图即使只返回一个二进制位的信息,我们就成功了.因为信息是由二进制组成.当我们可以重新这个探测-反馈过程的时候,一切都变得简单.

思路:

1. 我们想要知道虚拟机的特征结构.
2. 我们能得到的信息是测试体行为的信息.
3. ok.
4. 改变测试体行为的信息使之表现出我们需要的信息.

使用方法:

编写一个程序探测当前系统的环境并将结果启动项,注册表名,新建文件名,文件夹名的形式创建.如下图我们得到:

此外反病毒虚拟机是如何识别32bit或64bit程序的?

有如下可能:
1. 统统运行在64位系统下(小概率)
2. 分辨出应用程序在头部记录的程序标记,导向到不同虚拟机.(漏洞)
3. ……

如何防护这种探测:

这种防护不是容易.只能随机的环境.随机的硬件让病毒制作者无从下手.