Криминалистика — сканирование гостевой ОС (WinXP) и файлов из хостовой ОС (Win7 64) с помощью VMWare Player или VirtualBox

Question

У меня есть ноутбук с Windows XP, зараженный вирусом; вирус был удален, но сетевое подключение было нарушено. Я загружаюсь в Ubuntu с USB-накопителя, чтобы перемещать файлы между системой и сетью.Я также использовал конвертер VMWare для преобразования системы в виртуальную машину, которая теперь запущена на хосте Windows 7 64 бит. Виртуальная машина довольно заблокирована; Я не хочу предоставлять ему доступ к сети или ресурсам на хосте в случае, если в системе есть необнаруженное вредоносное ПО. Я хотел бы иметь возможность доступа к гостевому виртуальному жесткому диску с хоста и сканировать его; и после этого иметь возможность перемещать файлы из виртуальной среды с хоста.

Есть ли способ безопасного доступа к гостевому виртуальному жесткому диску с хоста с помощью VMWare Player или VirtualBox? У меня установлены инструменты из гостевой ОС под Player.

Также -Есть ли лучший способ архивации и анализа существующей системы, чем этот метод?Цель скорее в том, чтобы иметь контролируемую среду для диагностики различных типов вредоносного ПО, а не иметь бит в бит идентичный архив источника. Я хочу иметь возможность включить сеть на гостевой ОС и направить ее через сниффер, чтобы понять, как работают эксплойты.

Подведем итоги того, что я ищу:
1) Немедленное решение, позволяющее получить доступ к жесткому диску виртуальной машины так же, как я могу получить доступ к физической системе из Ubuntu, запущенной с USB-накопителя, для перемещения файлов.
2) Возможность сканировать виртуальный диск с помощью инструментов сканирования на вирусы на хосте.
3) В долгосрочной перспективе разработать методику безопасного анализа скомпрометированных систем.

Спасибо!

Answer 1

Безопасность — это сложная вещь.

Помните, что все вирусы не опасны, пока не запущены, поэтому пока вы ничего не запускаете (и в целях безопасности даже не пользуйтесь проводником Windows, так как нажатие на файл может сгенерировать предварительный просмотр, и технически возможно запустить вирус — если программа просмотра имеет уязвимость).

Для Linux,Следуйте этому руководству- Вы можете извлечь и получить инструменты, необходимые для монтирования жесткого диска VMWare (файл .VMDK) в локальную файловую систему. Затем вы можете использовать любой антивирусный сканер и сканировать его, как будто это локальный файл.

Для будущего использования я бы лично либо использовал выделенную машину, предназначенную для этой задачи, либо создал новую виртуальную машину и установил все как обычно, включая антивирус, а затем можно было бы просто добавить дополнительные виртуальные жесткие диски (или физические, используя USB-переход) и сканировать с виртуальной машины.

Надеюсь это поможет.

Answer 2

В Windows вы также можете монтировать VMDK, а затем запустить сканирование с помощью любого антивируса, который уже есть в вашей хост-системе.

Вы должны найти vmware-mount в папке vmware в разделе Program Files.

vmware-mount [буква-диска:] [путь-к-vmdk] [опции]