JDWA-KVM 虚拟机去虚拟化技术详解

#include <ntddk.h>
#include <wdm.h>

// SSDT相关的定义
typedef struct _SYSTEM_SERVICE_TABLE {
    PVOID ServiceTableBase;
    PVOID ServiceCounterTableBase;
    ULONG_PTR NumberOfServices;
    PVOID ParamTableBase;
} SYSTEM_SERVICE_TABLE, *PSYSTEM_SERVICE_TABLE;

// 原始的SystemFirmwareTable函数指针
typedef NTSTATUS(*PFN_NT_QUERY_SYSTEM_INFORMATION)(
    IN ULONG SystemInformationClass,
    OUT PVOID SystemInformation,
    IN ULONG SystemInformationLength,
    OUT PULONG ReturnLength OPTIONAL);

// 保存原始函数地址
PFN_NT_QUERY_SYSTEM_INFORMATION g_OriginalQuerySystemInformation = NULL;

// 我们的钩子函数
NTSTATUS HookedNtQuerySystemInformation(
    IN ULONG SystemInformationClass,
    OUT PVOID SystemInformation,
    IN ULONG SystemInformationLength,
    OUT PULONG ReturnLength OPTIONAL)
{
    // 调用原始函数获取数据
    NTSTATUS status = g_OriginalQuerySystemInformation(
        SystemInformationClass,
        SystemInformation,
        SystemInformationLength,
        ReturnLength);

    // 如果是系统固件表信息请求
    if (NT_SUCCESS(status) && SystemInformationClass == 76) { // SystemFirmwareTableInformation
        // 获取固件表信息结构
        PSYSTEM_FIRMWARE_TABLE_INFORMATION firmwareTableInfo = (PSYSTEM_FIRMWARE_TABLE_INFORMATION)SystemInformation;
        
        // 处理SMBIOS表
        if (firmwareTableInfo->ProviderSignature == 'RSMB') { // SMBIOS
            // 获取表数据指针
            PUCHAR tableData = (PUCHAR)firmwareTableInfo->TableBuffer;
            ULONG tableLength = firmwareTableInfo->TableBufferLength;
            
            // 在表中搜索并替换虚拟机特征字符串
            for (ULONG i = 0; i < tableLength - 7; i++) {
                // 搜索"VMware"字符串
                if (memcmp(tableData + i, "VMware", 6) == 0) {
                    // 替换为"PHYSIC"
                    memcpy(tableData + i, "PHYSIC", 6);
                }
                // 搜索"Virtual"字符串
                if (memcmp(tableData + i, "Virtual", 7) == 0) {
                    // 替换为"Reality"
                    memcpy(tableData + i, "Reality", 7);
                }
            }
        }
    }

    return status;
}

// 设置/移除钩子
BOOLEAN SetHook(BOOLEAN Install)
{
    // 获取SSDT表
    PSYSTEM_SERVICE_TABLE ServiceTable = GetSystemServiceTable();
    if (!ServiceTable) return FALSE;

    // 获取NtQuerySystemInformation的索引
    ULONG Index = GetServiceIndex("NtQuerySystemInformation");
    if (!Index) return FALSE;

    // 关闭写保护
    DisableWriteProtection();
    
    if (Install) {
        // 保存原始函数地址
        g_OriginalQuerySystemInformation = (PFN_NT_QUERY_SYSTEM_INFORMATION)ServiceTable->ServiceTableBase[Index];
        // 设置钩子
        ServiceTable->ServiceTableBase[Index] = (PVOID)HookedNtQuerySystemInformation;
    }
    else {
        // 恢复原始函数
        if (g_OriginalQuerySystemInformation)
            ServiceTable->ServiceTableBase[Index] = (PVOID)g_OriginalQuerySystemInformation;
    }
    
    // 恢复写保护
    EnableWriteProtection();
    
    return TRUE;
}

// 驱动入口
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
{
    DriverObject->DriverUnload = DriverUnload;
    
    // 安装钩子
    SetHook(TRUE);
    
    return STATUS_SUCCESS;
}

// 驱动卸载
VOID DriverUnload(PDRIVER_OBJECT DriverObject)
{
    // 移除钩子
    SetHook(FALSE);
}

// CPUID指令拦截函数
VOID HandleCpuidVmexit(PGUEST_REGS GuestRegs)
{
    // 获取CPUID功能号
    INT32 function = (INT32)GuestRegs->rax;
    
    // 处理CPUID功能号1（处理器特性与功能位）
    if (function == 1) {
        // 修改ECX寄存器，清除虚拟化位(31位)
        GuestRegs->rcx &= ~(1 << 31);
    }
    // 处理供应商字符串检查(功能号0)
    else if (function == 0) {
        // 自定义的CPUID返回值
        GuestRegs->rbx = 0x756e6547; // "Genu"
        GuestRegs->rdx = 0x49656e69; // "ineI"
        GuestRegs->rcx = 0x6c65746e; // "ntel"
    }
    // 处理Hypervisor信息(功能号0x40000000)
    else if (function == 0x40000000) {
        // 返回无供应商信息
        GuestRegs->rax = 0;
        GuestRegs->rbx = 0;
        GuestRegs->rcx = 0;
        GuestRegs->rdx = 0;
    }
}

// 修改注册表项来隐藏虚拟机痕迹
NTSTATUS HideVmwareRegistry()
{
    UNICODE_STRING registryPath;
    OBJECT_ATTRIBUTES objAttr;
    HANDLE keyHandle;
    
    // 初始化目标注册表路径
    RtlInitUnicodeString(&registryPath, 
        L"\\Registry\\Machine\\HARDWARE\\DEVICEMAP\\Scsi\\Scsi Port 0\\Scsi Bus 0\\Target Id 0\\Logical Unit Id 0");
    
    InitializeObjectAttributes(&objAttr, 
                              &registryPath,
                              OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE,
                              NULL, 
                              NULL);
    
    // 打开注册表键
    NTSTATUS status = ZwOpenKey(&keyHandle, KEY_ALL_ACCESS, &objAttr);
    if (!NT_SUCCESS(status)) {
        return status;
    }
    
    // 修改"Identifier"值
    UNICODE_STRING valueName;
    RtlInitUnicodeString(&valueName, L"Identifier");
    
    // 准备新的非虚拟机标识符
    WCHAR newIdentifier[] = L"SAMSUNG SSD PM9A1 NVMe 1TB";
    
    status = ZwSetValueKey(keyHandle,
                          &valueName,
                          0,
                          REG_SZ,
                          newIdentifier,
                          sizeof(newIdentifier));
    
    ZwClose(keyHandle);
    return status;
}

// 全局钩子管理结构
typedef struct _HOOK_ENTRY {
    PVOID OriginalFunction;
    PVOID HookedFunction;
    ULONG ServiceId;
    BOOLEAN Active;
} HOOK_ENTRY, *PHOOK_ENTRY;

// 初始化所有防检测钩子
NTSTATUS InitializeAllHooks()
{
    // 1. 设置SSDT钩子
    InitializeSsdtHooks();
    
    // 2. 设置硬件断点以拦截CPUID指令
    SetupCpuidInterception();
    
    // 3. 修补内存中的关键字符串
    PatchVirtualStringInMemory();
    
    // 4. 修改注册表
    HideVmwareRegistry();
    
    // 5. 修补MSR寄存器访问
    SetupMsrInterception();
    
    return STATUS_SUCCESS;
}

// 钩子代码示例（需要汇编实现）
__declspec(naked) void CodeCaveHook() {
    __asm {
        // 保存寄存器状态
        push eax
        push ebx
        push ecx
        push edx
        
        // 检查CPUID调用
        mov eax, 1       // CPUID功能号1
        cpuid
        and ecx, 0x7FFFFFFF // 清除ECX的第31位(Hypervisor位)
        
        // 恢复寄存器并返回
        pop edx
        pop ecx
        pop ebx
        pop eax
        
        // 执行被覆盖的原始指令
        [原始指令]
        jmp [返回地址]
    }
}

// early_hook.c - 编译为DLL
#include <windows.h>

BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved) {
    if (fdwReason == DLL_PROCESS_ATTACH) {
        // 实现早期防检测代码
        PatchCpuidInstruction();
        HideSmbiosVirtualStrings();
        ModifyRegistryVirtualKeys();
    }
    return TRUE;
}

// 示例：修改PE文件导入表
void RedirectImportTable(const char* dllPath, const char* functionName, void* newFunction) {
    // 使用PE编辑库实现导入表重定向
    // 此处代码需要专业PE文件格式知识
}