GuLoader AntiVM Techniques

Excerpt

GuLoader AntiVM Techniques - VinCSS Blog

By Yến Hứa

1. Anti-VM

1.1. Kết hợp ZwQueryVirtualMemory với các hash đã tính toán trước

1.2. Kiểm tra sự tồn tại của QEMU Guest Agent

1.3. Sử dụng CPUID

2. Bonus

Thời gian gần đây, Twitter của các chuyên gia nước ngoài liên tục xuất hiện hash tag #GuLoader, đây là một downloader phổ biến đang được các nhóm tin tặc sử dụng rộng rãi nhằm tải về mã độc chính lợi dụng các dịch vụ cloud của Google Drive và Microsoft OneDrive. GuLoader rất nhỏ, nhẹ, được viết bằng VB6 và thường được nén trong file .rar. Khi người dùng vô tình thực thi loader này, nó sẽ tải xuống Trojans (RAT) hoặc các dòng mã độc đánh cắp thông tin như Agent Tesla, FormBook, NanoCore RAT, Netwire RAT,…

The opening of the report, shown for reference. The full report, with its figures and indicators, is published by vincss.net on blog.vincss.net.