Kembalikan ke snapshot "bersih" atau "disimpan" setelah menjalankan malware di VirtualBox

Saya menggunakan virtualbox untuk membuang panggilan API untuk malware dengan menggunakan alat. Saya telah menyimpan status "bersih / tidak terkontaminasi" sebelum saya menjalankan malware.

Namun saya tidak menemukan cara untuk memulihkan kembali setelah saya berhasil mengeksekusi malware. Apakah ada juga dengan menggunakan menu atau sesuatu.

Sebelumnya saya melihat cara dengan menggunakan perintah vboxmanage tetapi saya lupa kata kunci untuk melakukan itu (kembali ke titik snapshot tertentu). Juga, berapa banyak foto yang dapat kita buat dengan menggunakan VirtualBox?

Saya dapat mempertimbangkan metode lain juga - membuat klon. Tetapi jika jumlah malware adalah ribuan .. itu mungkin bukan ide yang baik karena saya harus melakukannya secara manual jika itu masalahnya.

virtualbox malware najmi
sumber

Hanya untuk Anda pertimbangkan: Apakah Anda sadar bahwa ada sedikit malware di luar sana yang dapat mendeteksi ketika mereka dieksekusi dalam VM dan berperilaku berbeda? Apakah Anda lebih sadar bahwa ada juga malware yang mampu keluar dari mesin virtual dengan mengeksploitasi kerentanan keamanan di hypervisor dan mengeksekusi kode berbahaya pada mesin host?

Philipp

Saya minta maaf ketika ini terdengar memarahi, tetapi saya hanya ingin memastikan bahwa Anda tidak bersantai dalam keadaan keamanan palsu dan sengaja bereksperimen dengan malware pada mesin fisik yang sama di mana Anda memiliki data sensitif.

Philipp

Ya, saya sadar akan hal itu. Panggilan ini (deteksi mesin virtual) juga dapat dideteksi dalam proses hooking panggilan API. Tuan rumah adalah Linux dan tamu adalah Windows .. jadi AFAIK itu cukup aman. Proses yang sama sebenarnya sedang dilakukan oleh kotak pasir saat ini (Anubis, CWSandbox / GFI Sandbox)

najmi

@najmi: Saya tidak dapat membantu dalam hal ini tetapi saya dapat memberi Anda alat yang lebih baik: Eter: Analisis Perangkat Lunak melalui Ekstensi Virtualisasi Perangkat Keras

Grijesh Chauhan

dapatkah pertanyaan ini direplikasi ke security.stackexchange.com ?

najmi