近期，Perception Point发现了一起复杂的网络钓鱼攻击事件，该钓鱼攻击中使用了Doenerium恶意软件进行数字货币窃取和信息窃取，该恶意软件中使用了一个较为罕见的反虚拟机技术：利用WIFI对抗虚拟机，本文将对此技术进行分析。

此次攻击过程如下：

1.制作主题为"重要Windows更新"的电子邮件进行钓鱼

3.下载下来的zip文件中包含了使用说明readme和伪装成Windows更新的恶意软件

4.执行恶意软件，攻击者进行信息窃取，达到攻击目的

亮点 利用WIFI反虚拟机

反虚拟机

WIFI信息利用

if (client.config.counter.wifinetworks == 0) {
    const wifi_connections = await client.requires.systeminformation.getDynamicData();
    if (wifi_connections.wifiNetworks.length == 0) {
        result = true;
    }
}

WIFI作为现在人们上网常用的网络连接方式之一，一般情况下电脑都曾使用过WiFi。

检测WIFI实现反虚拟机技术有如下优点：

Windows虚拟机将所有网络连接识别为有线连接。因此，在一般情况下虚拟机中没有WiFi连接痕迹，而作为一台真实物理机，一般都曾连接过WiFi。因此有较好的区分虚拟机和真实物理机的作用，有较好的实战效果。

执行CMD命令netsh wlan show profiles,可获取本机的所有WIFI信息，具体对比入下图：

2.该方式基于逻辑检测，而不是技术对抗，实现上比较简单，当虚拟机仿照真实环境配置WiFi时，也可以进一步修改逻辑，进行对抗。

同2可得，在譬如外连无线USB适配器至虚拟机的特殊情况下，虚拟机中还是会有WiFi连接痕迹存在。因此，该方式适合作为反虚拟机的条件之一使用或在攻防过程中继续改进使用。