VM2 虚拟机如何过虚检测

虚拟机过虚拟化检测（“过虚检测”）是指通过绕过或隐藏虚拟机环境中的特征，避免被操作系统或应用程序检测到虚拟化环境。许多软件，特别是操作系统、反作弊程序、某些安全检测软件以及一些有反调试功能的程序，会检查当前环境是否是虚拟机，以防止恶意使用。为了避免被检测，虚拟机需要隐藏一些特定的虚拟化标志和特征。

虚拟机检测的常见方式

1. CPUID 指令： 通过 CPUID 指令，操作系统可以查询关于处理器的详细信息，包括虚拟化支持的标志。例如，某些虚拟机（如 VMware、VirtualBox、Hyper-V）会在返回的 CPUID 信息中显式标明自己是虚拟化环境。

2. 硬件特征（设备）

   • 虚拟机通常会提供特定的虚拟硬件，如虚拟网卡、虚拟磁盘和虚拟显示器。某些检测程序会查找这些虚拟硬件设备。
   • 检查磁盘、网卡和其他硬件的名称，如 VMware、VirtualBox、QEMU、KVM 等。

3. 虚拟机工具和服务

   • 安装在虚拟机中的增强工具，如 VMware Tools、VirtualBox Guest Additions，或者虚拟机的服务进程（如 VBoxService.exe 或 vmtoolsd.exe）会被检测到。

4. BIOS 信息

   • 虚拟机往往会使用与真实硬件不同的 BIOS 或固件。例如，虚拟机会暴露出虚拟机厂商的名称（如 VMware、VirtualBox）和版本号。

5. I/O 端口

   • 虚拟化环境可能会暴露一些特定的 I/O 端口号（如 0x5658），通过访问这些端口可以检测虚拟机的存在。

6. 内存和时间特征

   • 在虚拟机中，内存分配和时钟的表现可能与物理机有所不同，虚拟机可能出现时间漂移或精度问题，尤其在高精度定时器上。

7. 驱动程序

   • 虚拟化软件通常会安装专用的驱动程序（如 VBoxGuest.sys、vmhgfs.sys）或特定的内核模块，这些驱动程序的存在可以暴露虚拟机的存在。

8. 网络特征

   • 虚拟机中的网络适配器、虚拟网卡与物理网卡有所不同，通常可以通过网卡的硬件地址（MAC 地址）和驱动信息来检测虚拟化环境。

---

过虚拟机检测的策略

1. 修改 CPUID 指令返回值

• 修改虚拟化标志：通过修改虚拟机配置文件或工具，可以“伪装”CPUID返回值，使得操作系统或应用无法识别出虚拟化环境。
• VMware：在 VMware 中，可以通过修改 .vmx 配置文件来禁用虚拟化指示标志：

  monitor_control.restrict_backdoor = "TRUE"
  hypervisor.cpuid.v0 = "FALSE"

  这将禁止 VMware 向虚拟机暴露“VMware”标识。
• VirtualBox：在 VirtualBox 中，你可以通过修改虚拟机配置文件，隐藏虚拟化指令标志：

  cpuid.0x1.edi=0x00000000

2. 隐藏硬件特征

• 虚拟硬件修改：虚拟机提供的虚拟硬件如网卡、磁盘控制器、显示适配器等通常具有显著的标识。可以通过以下方式修改虚拟机硬件配置：
  • 修改网卡信息：虚拟机的默认网卡通常会使用特定的 MAC 地址或驱动名（例如 VMware 的虚拟网卡可能会显示为 vmxnet）。可以通过修改虚拟机配置文件来修改这些信息。
  • 修改硬盘标识：虚拟硬盘的名称可能会包含 VBOX HARDDISK 或类似标识。通过虚拟机配置文件更改这些标识。
• BIOS 配置：在 VMware 或 VirtualBox 中，可以修改虚拟机的 BIOS 信息，以避免暴露虚拟化的标识。例如，在 VMware 中，你可以禁用虚拟机的默认 BIOS 信息：

  smbios.reflectHost = "TRUE"

3. 隐藏虚拟机工具和服务

• 禁用虚拟机工具：大部分虚拟化软件都会安装增强工具（如 VMware Tools 或 VirtualBox Guest Additions）。这些工具可能会被检测到。可以通过禁用或卸载虚拟机工具来避免检测。
  • 在 Windows 中，可以禁用或卸载 vmtoolsd.exe 和 VBoxService.exe。
  • 在 Linux 中，可以删除虚拟机增强工具包，如 open-vm-tools 或 virtualbox-guest-utils。
• 伪装进程：使用第三方工具或手动修改配置，伪装虚拟机工具进程的名称。

4. 隐藏驱动程序和内核模块

• 驱动伪装：虚拟化环境中的虚拟机驱动（如 VBoxGuest.sys、vmhgfs.sys 等）是虚拟机被检测到的一个明显特征。可以通过删除这些驱动程序或使用工具来伪装它们。
• 内核模块隐藏：在 Linux 系统中，虚拟化模块（如 kvm、vboxguest 等）可以被隐藏或卸载。例如：

  rmmod vboxguest

5. 修改 I/O 端口

• 禁用特定端口：通过修改虚拟机配置文件或系统配置，可以禁用或伪装虚拟机使用的 I/O 端口。例如，在 VMware 中，虚拟机可以访问 0x5658 端口，检测到这个端口可能表明虚拟化环境的存在。通过修改虚拟机配置文件来禁用特定端口访问。

6. 伪装时间

• 禁用时间同步：虚拟机可能会由于虚拟化的精度问题，导致时间漂移。可以通过禁用时间同步或修复时间漂移来避免时间异常被检测。例如，在 VMware 中，可以禁用时间同步：

  tools.syncTime = "FALSE"

7. 网络伪装

• 修改虚拟网卡配置：虚拟机通常使用虚拟网卡（如 vmxnet）。通过修改配置，可以伪装成物理网卡。例如，在 VMware 中，可以禁用虚拟网卡并将其配置为普通网卡：

  ethernet0.virtualDev = "e1000"

8. 使用裸金属虚拟化（Type 1 Hypervisor）

• 使用 Type 1 Hypervisor：与 Type 2 Hypervisor（如 VMware Workstation、VirtualBox）相比，Type 1 Hypervisor（如 VMware ESXi、Hyper-V、KVM）更难被检测到，因为它直接运行在物理硬件上，不依赖于宿主操作系统。对于需要避免检测的场景，Type 1 Hypervisor 更为理想。

9. 动态调试绕过

• 调试与虚拟化检测绕过：某些恶意软件和调试工具可能会使用动态分析来检测虚拟机。在这些情况下，程序通过调试时检查某些系统调用，查看是否存在与虚拟化相关的行为。使用 HideDebug 或 AntiVM 工具，或者手动修改虚拟机配置文件，能避免调试工具对虚拟机的检测。

---

总结

虚拟机过虚拟化检测是一个复杂的过程，涉及修改虚拟机的硬件配置、隐藏特定的文件和进程、修改操作系统设置等多个方面。为了完全绕过虚拟机检测，必须对虚拟机环境中的每个可疑特征进行伪装或修改。需要注意的是，过虚检测的行为有时可能违反某些软件的使用条款，并且过度的伪装可能导致系统稳定性和性能下降，因此需要根据实际情况权衡使用这些技术的利弊。