Детектирование VMWare

Автору известны, по меньшей мере, три способа обнаружения VM-Ware. Во-первых, по оборудованию: виртуальные машины несут на своем борту довольно специфический набор железа, практически не встречающийся в живой природе. Это:
Видеокарта VMware Inc [VMware SVGA II] PCI Display Adapter;

Сетевая карта: Advanced Micro Devices [AMD] 79c970 [PCnet 32 LANCE] (rev 10);

Жесткие диски: VMware Virtual IDE Hard Drive и VMware SCSI Controller.

Опросив конфигурацию оборудования, защищаемая программа сразу поймет, куда ее занесло.

Во-вторых, виртуальные сетевые карты имеют довольно предсказуемый диапазон MAC-адресов, а именно: 00-05-69-xx-xx-xx, 00-0C-29-xx-xx-xx и 00-50-56-xx-xx-xx. Защите достаточно выполнить команду "arp -a", чтобы распознать хакерские планы.

В-третьих, VM-Ware имеет коварный back-door, оставленный разработчиками для служебных целей и управляемый через порт 5658h, при этом в регистре EAX должно содержатся "магическое" число 564D5868h. Ниже приведен фрагмент кода червя Agobot, определяющий версию VM-Ware:

Руткиты уже давно научились распознавать виртуальные машины, отказываясь от заражения в их присутствии, что ломает весь концепт. Мы устанавливаем программное обеспечение с руткитом на виртуальную машину, сравниваем образы, ничего не находим и, довольные собой, запускаем руткита в основную систему. Выходит, гарантировано обнаружить современных руткитов при помощи виртуальных машин невозможно! А если еще учесть большое количество дыр в эмуляторах, то руткит имеет все шансы заразить основную систему из гостевой машины. Выход? Либо использовать выделенную живую машину, либо надежную виртуальную машину с полной эмуляцией (например, Bochs). Это предотвратит вирусное вторжение, но, увы, не спасет от детекции виртуальной машины руткитом. Bochs содержит множество мелких дефектов эмуляции (ведет себя не как настоящий процессор), которые не препятствуют работе нормальных программ, но могут быть использованы для детекта эмулятора. К тому же, ЛЮБОЙ эмулятор несет на своем борту довольно специфический набор виртуального железа, по которому его легко опознать. И хотя при наличии исходных текстов мы можем воспрепятствовать этому — купить живой компьютер намного дешевле, чем корежить виртуальное железо.