Finta Ventola CPU su VM Xen e QEMU

I malware controllano la presenza di una ventola CPU tramite la classe WMI Win32_Fan per individuare VM.

Le informazioni sulla ventola vengono lette dai dati SMBIOS di tipo 27 (Cooling Device).

È necessario anche definire la sonda termica (SMBIOS tipo 28) per rendere visibile la ventola in Windows.

Su Xen bisogna applicare una patch al loader e configurare smbios_firmware con le strutture SMBIOS precedute dalle dimensioni.

Su QEMU/KVM è sufficiente usare l'opzione -smbios o file nella configurazione libvirt per iniettare i dati SMBIOS.