El malware detecta entornos virtuales comprobando la clase Win32_Fan en WMI.
La información del ventilador de CPU se obtiene leyendo la entrada SMBIOS tipo 27 (Cooling Device).
En Xen se puede usar la opción smbios_firmware para inyectar estructuras SMBIOS, pero por defecto sólo admite tipos predefinidos.
Fue necesario aplicar un parche a Xen para añadir las estructuras SMBIOS de tipo 27 y 28 y definir también la sonda de temperatura (tipo 28).
Tras inyectar ambas estructuras, Windows reconoce el ventilador de CPU mediante Win32_Fan.
En QEMU/KVM es más sencillo usar la opción -smbios file=archivo.bin sin necesidad de parches ni prefijos de tamaño.
Get notified when new stories are published for "🇪🇸 Hacker News Espanyol"