Tendras que depurar el nucleo del Antivirus que por lo general en un driver para kernel.
Los Antivirus no funcionan de igual manera como Sandboxie por ejemplo, que simplemente se puede detectar si se esta dentro de la
'sandbox'  con la detección de un posible modulo cargado. En los Antivirus que implementan una sandbox o más bien una VM el código
es emulado y si llegasen a cargan algún modulo dentro de el espacio de memoria del proceso este no seria visible en la lista ya que seria
sólo cargado en la emulación, nota la diferencia entre los modulos que se podrian cargan en la emulacion y otros posibles modulos para
otros propositos, se tendria que depurar como dije. Otros simplemente emulan el código y el entorno emulado es bien limitado y son bien
faciles de saltarse.

En Kaspersky se implementa una VM y emula el código dentro antes de ejecutarlo en el verdadero entorno, esta en klif.sys. Claro que
esta tecnologia se sus ventajas y desventajas.

Correcto.

Cuando me refiero a saltarse la emulación es evitar que se continue analizando el código en busca de malware y me refiero
a 'saltarse' porque algunos antivirus simplemente tiene un emulador de código como su super protección.
Qué discusión?

Voto por Buster_BSA el es un usuario con un gran conocimiento conocido en varios foros también.
Pero sí, es posible 'salirse' de la sandbox si se encuentra una vulnerabilidad.

@Vaagish: Mira este código para detectar los sandbox maluchos que inyectan DLL: (FASM)

include 'win32ax.inc'
 
; MACROS
 
macro hash name,[string]{
   local ..hash, ..len, ..chr
   virtual at 0
      db string
      ..len  = $
      ..hash = 0
      repeat ..len
         load ..chr byte from % - 1
         ..hash = ..hash + ..chr
         ..hash = ..hash xor (((..chr shl 7) and $FFFFFFFF) or (..chr shr (25)))
      end repeat
   end virtual
   name#.h = ..hash
}
struc dw [arr]{
   common
      . dw arr
      .c = ($ - .) / 2
}
 
; GLOBAL
 
hash sandboxie, 'sbiedll.dll'
hash avast32,   'snxhk.dll'
hash avast64,   'snxhk64.dll'
hash comodo32,  'guard32.dll'
hash comodo64,  'guard64.dll'
 
; CODE
 
blacklist_loaded:
   call push_hashArr
   hashArr dw sandboxie.h, avast32.h, avast64.h, comodo32.h, comodo64.h
 
push_hashArr:
   push $30
   pop  esi
   lods dword[fs:esi]
   mov  edx, [eax+$0C]
   mov  edx, [edx+$1C]
   xor  eax, eax
nm:xor  ebx, ebx
   mov  esi, dword[edx+$20]
   test esi, esi
   mov  edx, [edx]
 jz     en
re:lodsw
   test eax, eax
 jz     fn
   or   eax, 0x20
   add  ebx, eax
   rol  eax, 7
   xor  ebx, eax
 jmp    re
fn:push hashArr.c
   pop  ecx
   mov  esi, [esp]
nx:lodsw
   cmp  eax, ebx
 loopne nx
 jecxz  nm
en:mov  eax, ecx
   pop  edi
   ret
 
main:
   call blacklist_loaded
.end main 

(POST ORIGINAL)
Un poco caótico, lo hice en el metro de camino a casa Si necesitas algún comentario dímelo

---

@x64Core: Yo voto por mí ¿No has visto los últimos enlaces del tema? El último argumento de Buster_BSA es que si existiesen vulnerabilidades de ese tipo valdrían millones; las hay. Y seguro que con suficientes contactos podrías encontrar un 0day por ahí que te permitiese elevación de privilegios local en la máquina invitado en VirtualBox y Windows XP

---

@cpu2: Si lo hacía con lodsd doy por hecho que es para ahorra unos cuantos bytes...

Realmente no valen millones . Buster_BSA se inventó la cifra

Hay mucho macro para generar constantes en tiempo de ensamblado. Si lo ensamblas verás que no hay cadenas de texto. Se generan los hashes y luego se comparan de la lista de librerías cargadas.

Cuanto menos tiempo de kernel gaste el antivirus más fluido irá el sistema. Se intentan delegar las tareas menos cruciales a usermode por cuestiones de optimización. También un crasheo de la DLL (p.e intencionado para saltarse la protección ) estaría localizado en el proceso y no reventaría todo el motor del antivirus o el SO.

Si quisieses hacer una detección genérica entrarían en juego muchos otros factores. Hay diferentes técnicas para detectar entornos virtualizados sin tener que hacer blacklisting. Por ejemplo utilizar instrucciones/llamadas que sepas que no siguen la ruta habitual y hacer comparaciones de tiempo. (Artículo al respecto)

Saludos!