Habr<p>[Перевод] Как я убедил виртуальную машину, что у неё есть кулер</p><p>Зачем вообще этим заморачиваться? Некоторые образцы malware выполняют различные проверки, чтобы определить, запущены ли они в виртуальной машине. Один из самых частых способов — проверка наличия определённых аппаратных компонентов, обычно не эмулируемых в виртуальных средах. Один из таких компонентов — кулер процессора . Например, malware может проверять наличие кулера процессора, поискав в WMI класс Win32_Fan : wmic path Win32_Fan get * Они делают это, чтобы не запускаться в виртуальных машинах, усложнив таким образом процесс анализа для исследователей безопасности. Зловредное ПО может определять, запущено ли оно в виртуальной машине, множеством разных способов. Есть различные классы WMI, позволяющие обнаружит присутствие виртуальной машины, например, Win32_CacheMemory , Win32_VoltageProbe и множество других . В этом посте я расскажу о кулере процессора. Мне просто понравилась идея убедить виртуальную машину, что он у неё есть. Однако такой же подход можно применить к другим аппаратным компонентам и классам WMI.</p><p><a href="https://habr.com/ru/articles/923314/" rel="nofollow noopener" translate="no" target="_blank"><span class="invisible">https://</span><span class="">habr.com/ru/articles/923314/</span><span class="invisible"></span></a></p><p><a href="https://zhub.link/tags/%D0%B2%D0%B8%D1%80%D1%82%D1%83%D0%B0%D0%BB%D1%8C%D0%BD%D1%8B%D0%B5_%D0%BC%D0%B0%D1%88%D0%B8%D0%BD%D1%8B" class="mention hashtag" rel="nofollow noopener" target="_blank">#<span>виртуальные_машины</span></a> <a href="https://zhub.link/tags/malware" class="mention hashtag" rel="nofollow noopener" target="_blank">#<span>malware</span></a> <a href="https://zhub.link/tags/xen" class="mention hashtag" rel="nofollow noopener" target="_blank">#<span>xen</span></a> <a href="https://zhub.link/tags/qemu" class="mention hashtag" rel="nofollow noopener" target="_blank">#<span>qemu</span></a> <a href="https://zhub.link/tags/qemukvm" class="mention hashtag" rel="nofollow noopener" target="_blank">#<span>qemukvm</span></a></p>