Суть в том решил я создать свой патч анти детект VMware

Бек доры заштопал, биос поправил убрав строки VMvare и добавив серийный номер материнской платы c помощью Phoenix bios editor.


В vmware-vmx.exe изменил вендоров. Поправил конфиг wmx

Но проблема вот в чем. Не могу понять где скрывается эта строчка VMware



С остальным оборудованием все хорошо, но вот диск почему все равно получает приставку к имени VMware. Кто подскажет где можно ее найти.

Вот сами настройки вм вари а также патченный биос и файлы + редактор феникс биоса .



http://multi-up.com/1107984
Патченный vmware-vmx.exe и биос + биос тулза файн + настроек vmx

Добавлено спустя 1 минуту
А да версия вари 12.1.0 build-3272444

| Сообщение посчитали полезным: mjau, oldman, HandMill, negoday, Danphil, forwardservice, madmaximka, texsez, Silence, Jaguar77, JohnnyEN, sashagg, krypt0n, Aqua_regia, chtck, bumblebee, klsu

нашел, как исправить данную проблему с Vm Exit, но не в VMware-vmx. а скорее драйвер

84be_06.09.2018_EXELAB.rU.tgz - Скриншот 07-09-2018 000928.png

| Сообщение посчитали полезным: 5demid5

Aqua_regia как?

Добавлено спустя 12 минут
Ребята, срочно нужна ваша помощь по поводу антидетекта а именно игры Варфейс, игра сама за антидетектилась благодаря этому патчу Mraksol`a, но при клонировании виртуалок серийные номера жд совпадают и при запуске второй игры на второй виртуалке, первая вылетает... но когда пробрасываю виртуалку на абсолютно новый HDD, все проходит нормально, без вылетов, помогите пожалуйста. Сразу говорю что программы к примеру hard disk serial number changer и т.п - не помогают, остается мутить только что в конфиге виртуалки.. менять/добавлять какие то значения.

От модератора: В запросы!
- Запросы на взлом программ
- Поиск специалистов


00fd_01.10.2018_EXELAB.rU.tgz - Screenshot_14545.png

| Сообщение посчитали полезным:

Блин, не пойму где надо менять vin и div id, в вмх? Или где?
Есть идеи? P.S. Видеобиос поменял, но как писал Марксом, осталось так же

Добавлено спустя 5 часов 55 минут
УРА! получилось изменить вендора

| Сообщение посчитали полезным:

скиньте пожалуйста этот патч.

| Сообщение посчитали полезным:

Работает ли данный патч на 15 vmware?

| Сообщение посчитали полезным:

sefon пишет:
Работает ли данный патч на 15 vmware?
попробуй, узнай

| Сообщение посчитали полезным:

Aqua_regia пишет:
попробуй, узнай
Я бы с удовольствием,но на 12 сервера стоят, нет возможности проверить. Виртауалку в виртуалке запустить?

| Сообщение посчитали полезным:

Aqua_regia
Драйвер не idastealth\RDTSCEmu ли? Он вроде пашет только в х86

| Сообщение посчитали полезным:

Ребят прочел тему и так и не понял, есть какое нибудь решения для сокрытия VMWare ? Может быть более ранних версий

| Сообщение посчитали полезным:

AlexsandrS пишет:
есть какое нибудь решения для сокрытия VMWare
Есть.
Ссылка в первом сообщении.

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter

Тоесть детект строится на конкретной реализации и его обход соответственно. А если я использую не тск, а время выполнения блока инструкций, относительно иного; гипервизор такой быстрый лишь благодаря прямому исполнению(блочному). Эти события можно обнаружить.

-----
vx

| Сообщение посчитали полезным:

AlexsandrS,
Менее "инавзивный" способ убрать Vmware из uuid - добавить isolation.tools.PatchSMBIOS.disable = "TRUE" в .vmx. А как быть с чеком по таймкипингу? У меня пока как то так получается:

f466_09.11.2018_EXELAB.rU.tgz - Pafish.PNG

| Сообщение посчитали полезным:

difexacaw пишет:
Эти события можно обнаружить
ТС скрывал варю по формальным признакам (строки, данные).
От полноценного детекта через анализ работы гипервизора это не спасает. Но и таких детектов в целом меньше, нежели просто чтение реестра и проход по идентификаторам оборудования.

Тот же RDTSC ловит варю почти сразу.

Многое ещё зависит от настройки виртуалки, в том числе от количества ядер.
Например, если система настроена как одноядерная, т.е. предоставляется только 1 процессорное ядро, то даже по этому можно детектить виртуалку.

-----
EnJoy!

| Сообщение посчитали полезным:

Для не доходчивых , не занимаюсь я больше патчами , я как застрял на wmi , так и не продвинулся все есть в теме, на заказ нечего не делаю так как не могу , и нет банально навыков драва писать.

В двух словах - я сгорел тогда и забил , наработок также не осталось так как они не актуальны, но поройтесь в теме там куча подсказок куда копать.

если видете темы с похожим на мой ник кто предлагает что-то продать , шлите куда подальше на половые органы.

| Сообщение посчитали полезным:

mraksol

Что за депрессивное настроение, весна ведь

> так как не могу , и нет банально навыков драва писать.

Это просто не знание инфы, её много. Совсем другое если бы ты решал задачу и не мог найти решение.

Для решения данной задачи драйвера писать не обязательно. Есть и другие способы в юм. Способов замера времени не много, их несколько. Их можно контролировать на уровне апп, зачем в ядро лишний раз лазить.

-----
vx

| Сообщение посчитали полезным:

На гитхабе есть проект Vmware Hardened VM detection mitigation loader. Соответствующая тема есть и тут https://exelab.ru/f/action=vthread&forum=3&topic=25469. Предполагаю что тематика форума подразумевает обходы детектов от разнообразных протекторов и защит в первую очередь чем от сферических неуловимых джо. По ссылке выше рассматривается вмпротект. Это гавно известно тем что любит использовать баг(и) в реализации виртуальных машин. Какие-то из них фиксятся, какие-то лежат годами в багтрекерах.

p.s.
Посты господина Клерка и всех его клонов, включая подсадных дурачков типа sty итд, рекомендую игнорировать - ничего по теме они все равно не скажут.

| Сообщение посчитали полезным:

Alchemistry

Учитывая что форумы скатились в говно, благодаря таким как ты, то думаю какой то очередной говяный проект с гхб нет смысла приводить. Если вы до сих пор используете машинную трассировку, то говорить с вами неочем.

-----
vx

| Сообщение посчитали полезным:

Дифексеков сегодня в ударе, в каждой теме по срачу
Бей их, индей, бей

-----
В облачке многоточия

| Сообщение посчитали полезным:

Boostyq

Баб тут есчо не хватало. У вас так устроен мозг, что он не может по данным темам работать. Ваша голова предназначена лишь для создания ловушки с целью размножения. Такое нужно банить сразу, ибо вредоносно.

-----
vx

| Сообщение посчитали полезным: morgot

Так и делаю, везде их наставила, смотри не наступи, а то размножишься и нам всем придется переехать с этого форума

-----
В облачке многоточия

| Сообщение посчитали полезным:

Задай себе вопрос чем ты отличаешься от вируса. Цели те же.

-----
vx

| Сообщение посчитали полезным:

Alchemistry пишет:
Посты господина Клерка и всех его клонов, включая подсадных дурачков типа sty итд, рекомендую игнорировать - ничего по теме они все равно не скажут.

Ну будем считать, что вы мне отомстили. Зачет. Хоть и не особо оригинальный. Сначала я вас принял за клон Клерка, теперь вы меня. От смеха, мне кажется, весь exelab будет по полу кататься. Правда, дурачком я вас не обзывал. Еще одна подобная вольность с вашей стороны и я "побегу" жаловаться в администрацию форума и напишу жалобу лично г. Путину.

| Сообщение посчитали полезным:

Я говорил про то что нечего не когда не продавал и не продаю. Все кто пытается продать патч ссылаясь на эту тему мошенники.

| Сообщение посчитали полезным:

difexacaw пишет:
Ваша голова предназначена лишь для создания ловушки с целью размножения.

ну а LCF-AT тоже подходит под это определение ?

| Сообщение посчитали полезным:

difexacaw пишет:
Задай себе вопрос чем ты отличаешься от вируса. Цели те же.
По целям ничем, как и любое другое живое существо
Они у всех одни, добиться успеха в любом его виде, найти успешного и здорового партнера, продвинуть свою биологическую линию и в итоге оставить потомство
Но в твоем-то случае проще полететь в космос

-----
В облачке многоточия

| Сообщение посчитали полезным: sty, TerminatorX

заканчивайте не по теме гонять

| Сообщение посчитали полезным: difexacaw, Aqua_regia

привет, позвольте мне спросить, все еще работает или нет, спасибо. И может ли кто-нибудь дать мне учебное видео

| Сообщение посчитали полезным:

Тут вот --> Link <-- ищут общее решение за $. Я показал что можно построить простой детект на отношении таймингов. Походу скоро никакой антидетект не поможет, так как в случае с профайлом обходить нечего

-----
vx

| Сообщение посчитали полезным: