用FLARE-VM加REMnux搭恶意软件解析实验室

这是一篇搭建分析实验室的记录：在 Windows 上安装整套分析工具的「FLARE-VM」，与面向恶意软件分析的 Linux「REMnux」组合使用。

其方式是：样本用 Windows 虚拟机发出的 DNS、HTTP 等请求，由 REMnux 返回模拟响应，从而在不将通信发到外部的情况下观察行为。

除网络隔离外，文章还总结了如何让虚拟机快照接近真实用户终端、如何应对简单的虚拟机检测，以及搭建过程中出现的问题与处理方法。

【要点整理】

- 主机为 Fedora 44，虚拟化软件为 VMware Workstation Pro，样本用虚拟机为安装了 FLARE-VM 的 Windows 11 Pro，使用 Procmon、Wireshark、x64dbg、capa 等观察行为。Windows 端仅连接用于与 REMnux 通信的网络，并为 REMnux 另外添加用于管理的网络接口。

- 将 Windows 的 DNS 解析目标指向 REMnux，用 dnsmasq 进行名称解析，用 INetSim 模拟 HTTP、HTTPS、FTP、SMTP 等。INetSim 内置的 DNS 功能无法运行，因此用 dnsmasq 替代。

- 禁用主机与样本用虚拟机之间的共享文件夹和剪贴板共享。保存两个快照：一个是干净状态，另一个是放入应用程序、文档以及浏览器中保存的假密码等，使其接近真实用户终端的状态。

- 作为应对简单虚拟机检测的措施，在虚拟机配置文件中添加 CPUID 相关等项目。文中说明这并不能完全防止被检测。

- 作为限制，文中说明 FLARE-VM 会在 Windows 中留下大量痕迹，因此容易被恶意软件检测到；并且由于时间原因，安装的工具被控制在最小范围。在试用真实样本前，计划先获取通信基线，并再次确认主机与网络的隔离情况。

- 作为故障处理，文中记录了使用 OVF Tool 导入 REMnux OVA 的步骤、解决 REMnux 在启动过程中停止问题的 CPUID 设置、在启用 Secure Boot 的主机上对 VMware 内核模块（vmmon、vmnet）进行签名（并注明不确定这是否是推荐方法），以及处理重启后 Defender 再次启用的问题等。

详情请参见以下链接：

（※虽然已在可能范围内进行事实核查，但由于依赖原文准确性以及快讯、摘要的性质，仍可能存在遗漏，准确信息请直接参考原始来源）