Scansioni in ambiente virtuale

[Giampy]

Salve,
spesso un nuovo programma si prova in ambiente virtuale, per i motivi che sappiamo.
Far funzionare certi programmi "antimalware" di vario tipo (quelli da una botta e via) in ambiente virtuale, giusto per curiosità, ha un senso? Vedono ugualmente le eventuali infezioni presenti? Il loro rapporto finale è veritiero?


Nota: se il messaggio vi sembra stravagante e magari anche ridicolo, vedrete poi che non lo è per niente

[crazy.cat]

Il loro rapporto finale è veritiero?

Direi di si, ho fatto svariate infezioni e rimozioni in ambiente virtuale.
Anche se è virtuale emula in tutto e per tutto un ambiente reale.

[hashcat]

Vedono ugualmente le eventuali infezioni presenti?

Vedono le infezioni (se presenti) della macchina virtuale, non del sistema operativo nativo.

[Giampy]

Vedono le infezioni (se presenti) della macchina virtuale, non del sistema operativo nativo.

Non so cosa significa "nativo", ma il mio programma di virtualizzazione (Returnil) copia tutto nell'ambiente virtuale, anche i files di Windows, anche il registro ecc... per cui nell'ambiente virtuale dovrebbe esserci anche il sistema operativo completo.

[hashcat]

Non so cosa significa "nativo", ma il mio programma di virtualizzazione (Returnil) copia tutto nell'ambiente virtuale, anche i files di Windows, anche il registro ecc... per cui nell'ambiente virtuale dovrebbe esserci anche il sistema operativo completo.

Stavo proprio per chiedertelo prima che crazy.cat rispondesse: ti avrei chiesto di specificare se la domanda si riferiva ad una soluzione di virtualizzazione completa (macchina virtuale tipo Vmware e VirtualBox) o virtualizzazione parziale come Returnil ed altri. In quest'ultimo caso (virtualizzazione parziale), puoi usare gli strumenti senza problemi, ma in particolare quelli che operano con il MBR (come TDSSKiller) potrebbero fornire risultati "falsati" proprio per via della virtualizzazione operata da programmi come Returnil.

[sampei.nihira]

Non sò la ver attuale, ma quelle passate, di RVS potevano essere "bucate" da qualche malware.
Così non succedeva con RVS+SandboxIE.
Quindi occhio a considerare RVS immune ai malwares perché se è vero che la storia si ripete........

[hashcat]

Mi sembra che la versione attuale sia ancora vulnerabile al rootkit TDSS4.