备注
原文地址：Evasions: Registry (checkpoint.com)
原文标题：Evasions: Registry

更新日期：2021年5月17日

此文后期：根据自身所学进行内容扩充

因自身技术有限，只能尽自身所能翻译国外技术文章，供大家学习，若有不当或可完善的地方，希望可以指出，用于共同完善这篇文章。
目录

注册表检测方法

1.检查是否存在特定的注册表路径

2. 检查特定的注册表键是否包含指定的字符串

反制措施

归功于

注册表检测方法
所有注册表检测方法的原则如下：在通常的主机中没有这样的注册表键和值。然而，它们存在于特定的虚拟环境中。

有时，通常的系统在应用这些检查时可能会导致误报，因为它安装了一些虚拟机，因此系统中存在一些虚拟机的工件。尽管在所有其他方面，这样的系统与虚拟环境相比是干净的。

注册表键可以通过WinAPI调用查询。

kernel32.dll中使用的函数：

上面的函数是在以下ntdll.dll函数之上的wrappers：

1.检查是否存在特定的注册表路径
请看标题部分，以获取使用的函数列表。
代码样本：

此代码样本的作者：pafish project
识别标志
如果以下函数包含列表`注册表路径`的第二个参数

那么这就表明应用程序试图使用规避技术。
检测表

检查是否存在以下注册表路径:

检测

注册表路径（registry path）

细节（如果有的话）

[general]

HKLM\Software\Classes\Folder\shell\sandbox

HKLM\SOFTWARE\Microsoft\Hyper-V

通常 "HostName "和 "VirtualMachineName "的值是在这个路径下读取的。

HKLM\SYSTEM\ControlSet001\Services\vmicheartbeat

HKLM\SYSTEM\CurrentControlSet\Enum\PCI\VEN_1AB8*

子键有以下结构 VEN_XXXX&DEV_YYYY&SUBSYS_ZZZZ&REV_WW

Sandboxie

HKLM\SYSTEM\CurrentControlSet\Services\SbieDrv

HKLM\SYSTEM\CurrentControlSet\Enum\PCI\VEN_80EE*

子键有以下结构: VEN_XXXX&DEV_YYYY&SUBSYS_ZZZZ&REV_WW

HKLM\HARDWARE\ACPI\DSDT\VBOX__

HKLM\SYSTEM\CurrentControlSet\Enum\PCI\VEN_5333*

子键有以下结构: VEN_XXXX&DEV_YYYY&SUBSYS_ZZZZ&REV_WW

HKLM\SYSTEM\ControlSet001\Services\vpcbus

HKLM\SYSTEM\CurrentControlSet\Enum\PCI\VEN_15AD*

子键有以下结构: VEN_XXXX&DEV_YYYY&SUBSYS_ZZZZ&REV_WW

HKCU\SOFTWARE\VMware, Inc.\VMware Tools

HKCU\SOFTWARE\Wine

HKLM\HARDWARE\ACPI\DSDT\xen

在特殊情况下，恶意软件可能会列举子键并检查子键的名称是否包含某些字符串，而不是检查指定的键是否存在。

例如：列举 "HKLM\SYSTEM\ControlSet001\Services\"的子键并搜索 "VBox "字符串。
2. 检查特定的注册表键值是否包含指定的字符串
请看标题部分，以获得所使用的函数列表。请注意，大小写与这些检查无关：它可以是大写或小写。
代码样本：

此代码样本的作者：pafish project
识别标志

如果以下函数包含列表`注册表路径`的第二个参数：

NtOpenKey(..., 注册表路径, ...)

并后跟对以下函数的调用，该函数带有表列“注册表键值”的第二个参数：

那么这就表明应用程序试图使用规避技术。
检测表

检查以下注册表值是否包含以下字符串（不区分大小写:

Detect

注册表路径

注册表键值

字符串

[general]

HKLM\HARDWARE\Description\System

SystemBiosDate

06/23/99

HKLM\HARDWARE\Description\System\BIOS

SystemProductName

A M I

BOCHS

HKLM\HARDWARE\Description\System

SystemBiosVersion

BOCHS

HKLM\HARDWARE\Description\System

VideoBiosVersion

BOCHS

Anubis

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion

ProductID

76487-337-8429955-22614

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion

ProductID

76487-337-8429955-22614

CwSandbox

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion

ProductID

76487-644-3177037-23510

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion

ProductID

76487-644-3177037-23510

JoeBox

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion

ProductID

55274-640-2673064-23950

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion

ProductID

55274-640-2673064-23950

Parallels

HKLM\HARDWARE\Description\System

SystemBiosVersion

PARALLELS

HKLM\HARDWARE\Description\System

VideoBiosVersion

PARALLELS

QEMU

HKLM\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0

Identifier

QEMU

HKLM\HARDWARE\Description\System

SystemBiosVersion

QEMU

HKLM\HARDWARE\Description\System

VideoBiosVersion

QEMU

HKLM\HARDWARE\Description\System\BIOS

SystemManufacturer

QEMU

VirtualBox

HKLM\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0

Identifier

VBOX

HKLM\HARDWARE\DEVICEMAP\Scsi\Scsi Port 1\Scsi Bus 0\Target Id 0\Logical Unit Id 0

Identifier

VBOX

HKLM\HARDWARE\DEVICEMAP\Scsi\Scsi Port 2\Scsi Bus 0\Target Id 0\Logical Unit Id 0

Identifier

VBOX

HKLM\HARDWARE\Description\System

SystemBiosVersion

VBOX

HKLM\HARDWARE\Description\System

VideoBiosVersion

VIRTUALBOX

HKLM\HARDWARE\Description\System\BIOS

SystemProductName

VIRTUAL

HKLM\SYSTEM\ControlSet001\Services\Disk\Enum

DeviceDesc

VBOX

HKLM\SYSTEM\ControlSet001\Services\Disk\Enum

FriendlyName

VBOX

HKLM\SYSTEM\ControlSet002\Services\Disk\Enum

DeviceDesc

VBOX

HKLM\SYSTEM\ControlSet002\Services\Disk\Enum

FriendlyName

VBOX

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)