搜索

[22110] 2021-06-27_Windows下免杀思路总结

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-27_Windows下免杀思路总结 W i n d o w s 下 免 杀 思 路 总 结 哔 哩 哔 哩 S R C   L e m o n S e c   2 0 2 1 - 0 6 - 2 7 1 . 简 介 简 介 在 安 全 厂 商 日 趋 成 熟 的 背 景 下 ， 编 写 免 杀 马 的 难 度 和 成 本 日 益 增 长 。 好 用 新 兴 的 开 源 项 目 在 短 时 间 内 就 被 分 析 并 加 入 特 征 库 。 笔 者 调 研 了 部 分 开 源 项 目 ， 其 中 也 有 项 目 做 了 类 似 的 分 析   [ 1 ] ， 目 前 能 够 免 杀 的 项 目 初 步 统 计 ， 其 特 征 一 是 s t a r 数 不 过 千 ， 二 是 发 布 时 间 不 会 很 长 。 尽 管 以 上 开 源 测 试 项 目 已 经 无 法 免 杀 ， 也 有 两 种 可 以 发 展 的 方 向 ， 一 个 是 学 习 其 思 想 ， 自 己 实 现 并 去 特 征 免 杀 ； 二 是 改 造 原 有 项 目 ， 自 己 查 特 征 、 去 特 征 ， 经 过 测 试 也 能 达 到 免 杀 。 免 杀 方 法 和 思 路 很 多 ， 但 据 笔 者 观 察 ， 目 前 免 杀 分 为 两 大 流 派 。 一 是 二 进 制 流 ， 利 用 汇 编 配 合 上 C + + ， 调 用 系 统 底 层 函 数 进 内 核 的 方 式 免 杀 。 杀 软 如 果 直 接 在 用 户 态 检 测 其 行 为 特 征 会 比 较 困 难 。 二 是 新 工 具 新 项 目 、 小 众 工 具 流 ， 其 主 要 思 想 是 寻 找 反 病 毒 厂 商 未 覆 盖 的 方 法 和 工 具 ， 一 个 是 寻 找 新 的 语 言 工 具 和 项 目 ， 跟 厂 商 比 速 度 。 另 一 个 是 偏 僻 语 言 ， 用 户 量 小 ， 厂 商 一 直 并 未 发 现 或 者 工 作 重 心 不 在 上 面 。 举 个 例 子 ， 可 以 用 各 种 语 言 二 次 编 译 ， 配 合 上 一 些 语 言 特 性 如 p y t h o n 反 序 列 化 达 成 免 杀 。 通 过 现 有 工 具 的 组 合 有 效 提 高 复 杂 度 ， 在 反 病 毒 人 员 的 盲 区 里 进 行 。 两 种 各 有 优 劣 ， 后 续 若 有 文 章 会 测 试 更 多 的 免 杀 用 例 。 这 里 推 荐 一 个 静 态 免 杀 学 习 项 目 [ 2 ] 和 5 2 p o j i e 上 的 免 杀 项 目 , 利 用 了 大 部 分 后 文 中 提 到 的 免 杀 技 术 [ 3 ] 。 2 . 杀 毒 软 件 检 测 方 法 以 下 的 内 容 多 为 前 人 总 结 。 因 为 云 查 杀 本 质 上 也 是 基 于 特 征 查 杀 ， 顾 不 单 独 列 出 。 2 . 1 特 征 码 检 测 对 文 件 或 内 存 中 存 在 的 特 征 做 检 测 ， 一 般 的 方 法 是 做 模 糊 哈 希 或 者 机 器 学 习 跑 模 型 ， 优 点 是 准 确 度 高 ， 缺 点 是 对 未 知 木 马 缺 乏 检 测 能 力 。 所 以 目 前 依 赖 厂 商 的 更 新 ， 厂 商 做 的 更 新 及 时 能 有 效 提 高 杀 软 的 防 护 水 平 。 目 前 一 些 杀 软 对 相 似 的 病 毒 有 一 定 的 检 测 能 力 ， 猜 测 是 基 于 模 糊 哈 希 做 的 。 部 分 杀 软 同 样 对 于 加 壳 也 有 检 测 能 力 ， 对 于 不 同 的 厂 家 有 不 同 的 策 略 ， 有 些 会 对 文 件 进 行 标 记 ， 而 某 数 字 会 直 接 告 警 。 2 . 1 . 1 关 联 检 测 检 测 的 特 征 不 仅 仅 是 恶 意 p a y l o a d 的 特 征 ， 也 可 能 是 一 组 关 联 的 代 码 ， 把 一 组 关 联 信 息 作 为 特 征 。 比 如 在 使 用 加 载 器 加 载 s h e l l c o d e 时 ， 需 要 开 辟 内 存 ， 将 s h e l l c o d e 加 载 进 内 存 ， 最 后 执 行 内 存 区 域 s h e l l c o d e 。 这 些 步 骤 就 被 反 病 毒 人 员 提 取 出 来 作 为 特 征 ， 在 调 用 了 一 组 开 辟 内 存 的 函 数 比 如 v i r t u a l A l l o c 之 后 对 该 内 存 使 用 v i r t u a l P r o t e c t 来 更 改 标 示 位 为 可 执 行 并 且 对 该 内 存 进 行 调 用 就 会 触 发 报 毒 。 以 上 只 是 一 个 简 单 的 例 子 ， 具 体 情 况 具 体 分 析 ， 部 分 厂 商 对 其 进 行 了 扩 展 ， 所 以 现 在 使 用 另 外 几 个 函 数 进 行 调 用 也 无 法 免 杀 。 不 过 其 本 质 还 是 黑 名 单 ， 还 存 在 没 有 被 覆 盖 到 的 漏 网 之 鱼 。 2 . 2 行 为 检 测
行 为 检 测 通 过 h o o k 关 键 a p i ， 以 及 对 各 个 高 危 的 文 件 、 组 件 做 监 控 防 止 恶 意 程 序 对 系 统 修 改 。 只 要 恶 意 程 序 对 注 册 表 、 启 动 项 、 系 统 文 件 等 做 操 作 就 会 触 发 告 警 。 最 后 ， 行 为 检 测 也 被 应 用 到 了 沙 箱 做 为 动 态 检 测 ， 对 于 避 免 沙 箱 检 测 的 办 法 有 如 下 几 个 ： 延 时 ， 部 分 沙 箱 存 在 运 行 时 间 限 制 沙 箱 检 测 ， 对 诸 如 硬 盘 容 量 、 内 存 、 虚 拟 机 特 征 做 检 测 部 分 沙 箱 会 对 文 件 重 命 名 ， 可 以 检 测 自 身 文 件 名 是 否 被 更 改 2 . 3 小 结 以 上 是 对 杀 软 检 测 做 的 一 个 小 结 ， 目 前 学 术 界 对 恶 意 代 码 的 检 测 集 中 在 机 器 学 习 上 ， 已 经 有 部 分 杀 软 已 经 应 用 落 地 了 ， 如 微 软 。 对 杀 软 检 测 手 法 更 多 的 了 解 有 助 于 我 们 写 免 杀 马 。 3 . 绕 过 技 术 目 前 ， 随 着 c s 的 流 行 ， 越 来 越 多 的 人 使 用 c s 的 s h e l l c o d e ， 而 放 弃 了 自 己 开 发 编 写 的 木 马 ， 或 者 使 用 改 造 的 m s f 马 。 本 篇 文 章 也 会 以 s h e l l c o d e 加 载 器 作 为 例 子 。 后 续 文 章 将 会 涉 及 更 深 入 的 内 容 。 3 . 1 经 典 技 术 经 典 免 杀 技 术 如 下 ， 由 于 篇 幅 所 限 ， 本 篇 只 含 部 分 免 杀 技 术 。 特 征 码 修 改 花 指 令 免 杀 加 壳 免 杀 内 存 免 杀 二 次 编 译 分 离 免 杀 资 源 修 改 白 名 单 免 杀 3 . 2 修 改 特 征 一 个 加 载 器 存 在 两 个 明 显 的 特 征 ， 一 个 是 s h e l l c o d e 和 硬 编 码 字 符 串 。 我 们 需 要 消 除 这 些 特 征 ， 比 较 方 便 的 方 案 ， 使 用 b a s e 6 4 等 对 上 述 特 征 进 行 编 码 ， 最 好 使 用 多 种 编 码 手 段 。 对 于 s h e l l c o d e ， 使 用 b a s e 6 4 并 不 安 全 ， 所 以 更 安 全 的 方 案 是 加 密 ， 一 个 简 单 的 异 或 加 密 就 能 消 除 s h e l l c o d e 的 特 征 。 第 二 个 是 加 载 器 的 关 联 特 征 也 需 要 消 除 ， 对 于 代 码 中 出 现 连 续 调 用 的 v i r t u a l A l l o c ， v i r t u a l P r o t e c t 进 行 插 入 花 指 令 ， 通 过 加 入 无 意 义 的 代 码 干 扰 反 病 毒 引 擎 。 笔 者 的 一 点 想 法 ， 进 一 步 混 淆 源 代 码 ， 在 不 加 壳 的 情 况 下 稍 微 增 加 静 态 分 析 难 度 。 也 有 论 文 提 出 可 以 使 用 R O P 来 提 高 代 码 的 分 析 难 度 ， 因 为 现 存 的 代 码 分 析 引 擎 对 间 接 跳 转 和 调 用 的 支 持 存 在 瑕 疵 ， 复 杂 逻 辑 的 代 码 更 需 要 人 工 分 析 [ 1 2 ] 。 3 . 3 内 存 免 杀
s h e l l c o d e 直 接 加 载 进 内 存 ， 避 免 文 件 落 地 ， 可 以 绕 过 文 件 扫 描 。 但 是 针 对 内 存 的 扫 描 还 需 对 s h e l l c o d e 特 征 做 隐 藏 处 理 。 对 w i n d o w s 来 说 ， 新 下 载 的 文 件 和 从 外 部 来 的 文 件 ， 都 会 被 w i n d o w s 打 上 标 记 ， 会 被 优 先 重 点 扫 描 。 而 无 文 件 落 地 可 以 规 避 这 一 策 略 。 同 时 申 请 内 存 的 时 候 采 用 渐 进 式 申 请 ， 申 请 一 块 可 读 写 内 存 ， 再 在 运 行 改 为 可 执 行 。 最 后 ， 在 执 行 时 也 要 执 行 分 离 免 杀 的 策 略 。 3 . 4 修 改 资 源 杀 软 在 检 测 程 序 的 时 候 会 对 诸 如 文 件 的 描 述 、 版 本 号 、 创 建 日 期 作 为 特 征 检 测 [ 7 ] 。 可 用 r e s t o r a t o r 对 目 标 修 改 资 源 文 件 。 3 . 5 隐 藏 I A T 每 调 用 一 个 系 统 函 数 就 会 在 导 入 表 中 存 在 ， 这 对 于 反 病 毒 人 员 是 个 很 好 的 特 征 ， 直 接 通 过 检 测 导 入 表 中 有 没 有 调 用 可 疑 函 数 。 这 里 就 需 要 隐 藏 我 们 的 导 入 函 数 。 一 个 比 较 通 用 的 办 法 是 直 接 通 过 g e t P r o c e s s A d d r e s s 函 数 获 取 所 需 要 函 数 的 地 址 。 知 道 地 址 也 就 能 直 接 调 用 ， 这 样 整 个 程 序 内 除 了 g e t P r o c e s s A d d r e s s 其 他 函 数 都 不 会 出 现 在 I A T 表 中 。 尽 管 这 样 已 经 能 绕 过 上 面 的 检 测 ， 但 还 有 种 更 保 险 的 做 法 ， 用 汇 编 从 T e b 里 找 到 k e r n e l 3 2 . d l l 的 地 址 ， 再 从 其 导 出 表 中 获 取 所 需 系 统 函 数 。 出 自 （ h t t p s : / / w w w . 5 2 p o j i e . c n / t h r e a d - 1 3 6 0 5 4 8 - 1 - 1 . h t m l ） 3 . 6 分 离 免 杀 整 个 s h e l l c o d e 加 载 器 分 为 两 个 部 分 ， 分 离 下 载 s h e l l c o d e 和 执 行 。 加 载 器 处 在 s t a g e 0 阶 段 ， 其 作 用 除 了 加 载 大 马 外 并 无 其 他 作 用 。 但 是 直 接 执 行 大 马 会 被 检 测 到 ， 所 以 需 要 用 到 分 离 免 杀 。 出 自 （ h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 9 0 3 5 4 ） 通 常 杀 软 只 检 测 一 个 进 程 的 行 为 ， 所 以 如 果 存 在 两 个 恶 意 进 程 通 过 进 程 间 通 信 就 能 逃 过 检 测 、 达 到 免 杀 。 分 离 免 杀 的 方 法 多 种 多 样 ， 既 可 以 用 w i n d o w s 的 管 道 [ 4 ] [ 6 ] ， 也 可 以 用 s o c k e t 通 信 [ 5 ] 。
3 . 7 二 次 编 译 免 杀 像 m s f 或 者 c s 的 s h e l l c o d e 在 各 个 厂 商 里 都 盯 的 比 较 严 ， 对 于 这 些 s h e l l c o d e 已 经 提 取 好 特 征 只 要 使 用 就 会 被 检 测 出 。 所 以 会 使 用 各 种 编 码 器 进 行 免 杀 。 编 码 器 有 很 多 种 ， 这 里 仅 推 荐 m s f 的 s h i k a t a _ g a _ n a i ， 是 一 种 多 态 编 码 器 ， 每 次 生 成 的 p a y l o a d 都 不 一 样 。 3 . 7 . 1 其 他 语 言 编 译 免 杀   因 为 各 种 语 言 特 性 不 同 ， 对 于 不 同 语 言 编 写 的 加 载 器 厂 商 不 一 定 第 一 时 间 跟 进 ， 导 致 了 一 段 时 间 内 可 以 绕 过 。 在 2 0 2 0 年 初 的 时 候 ， 使 用 p y t h o n 作 为 加 载 器 [ 1 1 ] 免 杀 一 阵 ， 现 在 针 对 这 类 加 载 器 逐 渐 严 格 ， 导 致 直 接 加 载 报 毒 ， 需 要 更 多 的 混 淆 还 改 进 。 在 2 0 2 0 年 5 月 ， 奇 安 信 红 队 出 过 一 篇 文 章 ， 利 用 p y t h o n 反 序 列 化 来 加 载 p y t h o n 加 载 器 [ 8 ] ， 目 前 截 止 本 文 测 试 2 0 2 1 年 1 月 已 经 无 法 使 用 了 ， 是 个 比 较 好 的 思 路 。 3 . 8 系 统 函 数 白 名 单 免 杀 - u u i d 方 式 G a m m a 实 验 室 在 2 0 2 1 年 2 月 3 号 发 布 了 一 篇 微 信 公 众 号 的 文 章 [ 9 ] ， 分 析 了 C h e c k   P o i n t   R e s e a r c h 研 究 的 a p t 攻 击 的 文 章 。 其 中 的 亮 点 在 内 存 中 s h e l l c o d e 的 编 码 方 式 和 调 用 都 没 有 使 用 传 统 编 码 和 调 用 的 方 式 ， 利 用 了 系 统 函 数 的 特 性 ， 这 次 的 例 子 是 u u i d 。 使 用 的 是 系 统 给 U u i d F r o m S t r i n g A 函 数 将 p a y l o a d 的 u u i d 数 组 转 化 为 s h e l l c o d e 加 载 进 内 存 ， 其 特 点 就 是 程 序 中 存 在 大 量 硬 编 码 的 u u i d 。 另 一 个 ， 调 用 使 用 的 是 E n u m S y s t e m L o c a l e s A 函 数 ， 它 的 第 一 个 参 数 是 回 调 函 数 指 针 ， 也 就 意 味 着 参 数 一 只 要 传 入 s h e l l c o d e 首 地 址 就 会 执 行 恶 意 命 令 。 现 已 被 杀 ， 但 是 这 里 给 出 一 个 比 较 重 要 的 思 路 ， 还 有 其 他 可 以 利 用 的 W i n d o w s 系 统 函 数 可 以 利 用 。 另 外 现 已 经 有 项 目 实 现 了 使 用 调 用 g u i d 来 进 行 免 杀 。 3 . 9 某 数 字 公 布 的 s t a g e   u r i 检 测 因 为 c s 密 钥 都 是 硬 编 码 的 ， 被 逆 向 出 来 后 ， 只 要 使 用 s t a g e 分 阶 段 的 方 式 加 载 c s ， 其 流 量 都 会 被 解 密 并 能 检 测 其 特 征 [ 1 0 ] 。 对 抗 的 方 式 ， 二 次 打 包 改 密 钥 ， 或 更 改 c s 的 配 置 文 件 使 得 关 闭 s t a g e 。 同 时 使 用 s t a g e l e s s ， 也 得 更 换 自 己 的 d l l ， c s 的 b e a c o n . d l l 同 样 在 检 测 列 表 中 。 其 实 用 改 造 过 的 m s f 马 也 不 错 ， 这 也 就 是 上 文 提 到 的 过 的 开 源 项 目 ， 目 前 这 个 项 目 已 经 被 某 数 字 检 测 了 ， 所 以 需 要 对 项 目 进 行 改 造 。 4 . 总 结 以 上 总 结 了 主 流 的 免 杀 方 式 ， 后 文 的 免 杀 就 是 以 上 技 术 的 混 合 使 用 。 本 文 还 未 涉 及 到 诸 如 加 壳 ， d l l 以 及 使 用 p o w e r s h e l l 免 杀 等 ， 这 些 会 在 之 后 的 文 章 中 提 出 。 5 . 参 考 文 献 [ 1 ]           h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s [ 2 ]           h t t p s : / / g i t h u b . c o m / R v n 0 x s y / B a d C o d e [ 3 ]           h t t p s : / / w w w . 5 2 p o j i e . c n / t h r e a d - 1 3 6 0 5 4 8 - 1 - 1 . h t m l [ 4 ]           h t t p s : / / p a y l o a d s . o n l i n e / a r c h i v e r s / 2 0 1 9 - 1 1 - 1 0 / 4 [ 5 ]           h t t p s : / / p a y l o a d s . o n l i n e / a r c h i v e r s / 2 0 1 9 - 1 1 - 1 0 / 5
[ 6 ]           h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 9 0 3 5 4 [ 7 ]           h t t p s : / / c l o u d . t e n c e n t . c o m / d e v e l o p e r / a r t i c l e / 1 5 1 2 0 0 6 [ 8 ]           h t t p s : / / m p . w e i x i n . q q . c o m / s / g Z 2 8 M v C P T Q b T A V t Q j O 7 T 8 w [ 9 ]           h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 D v Y N D i Z c 2 i V 1 p X E n 7 G Z E A [ 1 0 ]       h t t p s : / / m p . w e i x i n . q q . c o m / s / f h c T T W V 4 D d z 4 h 9 K x H V R c n w [ 1 1 ]       h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 1 5 1 8 9 9 . h t m l [ 1 2 ]       h t t p s : / / a r x i v . o r g / p d f / 2 0 1 2 . 0 6 6 5 8 . p d f 作 者 ： i c e c r e a m , 现 在 b 站 安 全 负 责 红 蓝 对 抗 蓝 军 方 向 工 作 顺 带 推 荐 一 萌 新 公 众 号 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理