VMware 加固的 VM 检测缓解加载程序 (防止反 VM)
VMwareHardenedLoader-ng 是一个用于 VMware 客户机研究环境的 Windows 内核驱动程序。它过滤了选定的与 VMware 相关的固件字符串,并阻止了选定的 VMware PnP 注册表枚举。 驱动程序使用签名的 System Informer KPH 动态数据来解析未记录的内核全局变量,而不是使用 PDB、签名扫描或注册表提供的 RVA。
阅读 构建指南,然后使用安装了 WDK 的 Visual Studio 2022 开发者命令提示符进行构建:
msbuild VmLoader.sln /m /t:Rebuild /p:Configuration=Release /p:Platform=x64构建过程会下载和验证 KPH 明细表,生成和签名 v20 动态数据,并发布安装脚本所需的运行时资源。在配置外部动态数据或加载驱动程序之前,请参阅 运行时加载。
kphtools 提供了 nt!ExpFirmwareTableResource 和 nt!ExpFirmwareTableProviderListHead 的符号源和 RVA。
暂无开放 Issues，或尚未同步最近议题。