Wie verhindere ich dass eine Virtuelle Maschine erkannt wird?

Msp 4. schrieb:
> Meine Frage ist nun, ist damit eigentlich das Testen in einer VM
> hinfällig?

Kommt darauf an, was du testen willst. Wenn du testest ob es eine VM 
oder ein PC ist dann ja :-)

> Ich möchte gerne wissen, ob es eine Möglichkeit gibt, dass die VM immer
> für den User als PC dargestellt wird und höchstens durch sowas wie die
> Temperaturmessung ect. auffällt.
https://github.com/systemd/systemd/blob/04d7ca022843913fba5170c40be07acf2ab5902b/src/basic/virt.c

Hier siehst du, was geprüft wird. Wenn es dir darum geht, dass dies 
nicht erkannt wird, dann änderst du in QEMU oder in Virtualbox diese 
Werte, und kompilierst dir das ganze neu.
Sind ja beide Open Source.

Macht für mich zwar keinen Sinn, aber müsste eigentlich die Frage auf 
deine Antwort sein.

Malware erkennt VM und übliche Testsuiten schon seit Jahren, und die 
üblichen  AV-Hersteller entwickeln immer wieder neue Tricks um die 
Erkennung zu umgehen.
Was dazu führt, das die Malwarehersteller bessere Tricks wissen um VMs 
zu erkennen.

georg schrieb:
> Das wäre doch eine neue Möglichkeit sich zu schützen: man lädt ein
> kleines Progrämmchen, das den PC als VM ausgibt, und schon verhält sich
> die Malware ruhig.

Ja ach.
Was meinst du was normale Leute machen wenn sie zweifelhafte Software 
"testen". ;)

Es ist aber nicht so, das da nur irgendwelche DLLs getestet werden oder 
so, da geht's um Timings und eigenartige Vorkommnisse.
Z.B. vielkernige Prozessoren die auf einmal andere Namen oder Kernzahlen 
haben, komische Taktfrequenzen, nicht funktionierende Features, sowas.

also dieses:

Gödel Escher Bach schrieb:
> Sobald mehrere PCs behaupten, sie seien ein Honeypot eines
> Antiviren-Herstellers, entwickeln die Malwarehersteller Tricks, mit
> denen sie gefakte Testsuiten erkennen.

Gödel Escher Bach schrieb:
> Diese Möglichkeit funktioniert nur, solange sie neu ist.
>
> Sobald mehrere PCs behaupten, sie seien ein Honeypot eines
> Antiviren-Herstellers, entwickeln die Malwarehersteller Tricks, mit
> denen sie gefakte Testsuiten erkennen.

Aber der Angriff von 2 Seiten hätte was.
Auf der einen Seite die AV-VMs, die nicht als solche erkannt werden 
wollen und auf der anderen Seite die User, die gern als solche erkannt 
werden wollen.

Womit die Virenhersteller in der Bredouille wären. Ist es jetzt ein 
User, der eine VM simuliert, um den Virus lahmzulegen oder ist es eine 
AV-Test-VM.

georg schrieb:
> Das wäre doch eine neue Möglichkeit sich zu schützen: man lädt ein
> kleines Progrämmchen, das den PC als VM ausgibt, und schon verhält sich
> die Malware ruhig.

Das geht viel einfacher: in einer echten VM. Ich mach das schon lange so 
beim Internet-Banking u.Ä.

Gödel Escher Bach schrieb:
> Noch besser sind dann Viren, und ihren Programmcode in der Firmware der
> Festplatte verstecken.

Das wird wohl in der Praxis an der Artenvielfalt im Plattenbiotop 
scheitern…