免杀检测这个话题圈内聊的人不少但大多数讨论都集中在攻击者怎么过杀软真正站在防守方角度把免杀检测本身当成一门技术来系统拆解的反而不多。我做安全分析和应急响应这些年处理过的样本没有一千也有八百其中大量样本根本不是写得多高明而是恰好避开了杀软的几个固定检查点。这篇我打算从上篇开始先把免杀检测的技术地基讲清楚——什么场景下必须做免杀检测、杀软引擎究竟在查什么、常见的绕过思路长什么样以及作为防守方我们应该在哪些环节建立自己的检测能力。内容偏实战适合正在做蓝队、恶意样本分析、或者在企业里负责终端安全运营的同学参考。至于更细的静态绕过手法、混淆链路的深度拆解留到下篇再展开。1. 免杀检测不是查杀的附属品它要解决的问题域很多人第一次听到免杀检测这个词第一反应是这不就是杀毒软件干的活吗——实际上差得很远。传统查杀解决的是已知坏东西被识别的问题而免杀检测解决的是看起来没问题的东西到底藏没藏问题的问题两者在样本来源、判定标准、分析深度上完全不在一个维度。1.1 三种不得不做免杀检测的典型场景先说我遇到最多的三类场景。第一种是邮件附件和下载站的可疑文件这类文件经常被各种混淆器处理过表面上是正常的安装包但你用杀毒引擎扫一遍可能全绿。第二种是内网横向移动阶段落地的工具攻击者从外网打进来之后会释放一些经过二次打包的实用工具或远控木马这些文件往往只存在于内存或特定目录常规的全盘扫描根本不会走到那个路径。第三种更隐蔽——白文件被滥用攻击者直接利用系统自带的脚本解释器或签名过的合法程序来执行恶意逻辑整个过程中根本没有恶意文件落地传统查杀完全无从下手。这三种场景有一个共同点**依靠文件黑名单思路解决不了问题必须把检测重心从这是个什么东西转移到它做了什么事上。**免杀检测的完整含义其实是对逃避检测行为的检测——它既包括对绕过手法的识别也包括对未知样本的深度分析和行为判定。1.2 检测目标和检测对象要先分清在动手做免杀检测之前我建议先把检测对象分成三个层次否则后续很容易陷入扫了一遍没发现就是安全的假象。文件层样本是否经过加壳、加密、多态变形能否在静态特征上找到可疑痕迹。行为层样本运行后是否有异常的进程行为、网络行为、注册表操作、文件落地和自启动设置。这一层不关心样本长什么样只关心它做了什么。关联层单看每个行为可能都正常但把多个行为串联起来之后是否构成了恶意的攻击链。比如一个脚本读取了浏览器密码库紧接着又把数据通过DNS请求外带两个行为单独看都可能有正当理由连在一起就是典型的窃密链路。我见过的很多误报和漏报根源都在于只做了其中一层。只查文件层会被无文件攻击绕过只看行为层会被慢速低频的APT手法拖疲而真正有效的免杀检测一定是三个层次叠加推进的。提示做免杀检测的人必须先接受一个前提——你永远无法100%检出所有威胁。目标不是零漏报而是把检测成本抬到攻击者不愿意承担的高度。2. 杀软引擎的检查逻辑理解漏报是从哪里开始的想要理解免杀检测必须先搞清楚一个更基础的问题杀毒软件到底是怎么工作的如果你连引擎的检查顺序和信任边界都不知道你就无法判断检出和漏报之间那道分界线划在哪里。2.1 查杀引擎的四道常规检查工序主流终端安全产品的检查过程大体可以拆成四道工序我叫它四道关卡。第一道是特征码匹配。引擎把样本的关键字节片段拿去和病毒库里的特征做比对命中即报。这是最古老也最高效的查杀方式但对变形和混淆几乎无效——攻击者只要改变几个字节的排列或者插入一段无效指令特征码就完全失配了。第二道是启发式扫描。引擎不依赖精确匹配而是基于统计学和经验规则去判断这段代码像不像恶意代码。比如一个程序申请了可读可写可执行的内存块同时调用了进程注入相关的API组合启发式打分就会飙升。启发式能拦住一部分换皮样本但误报率随之上升正常软件如果频繁更新或加壳容易被误伤。第三道是云查与信誉评级。文件上传到云端做大规模关联分析结合文件下载来源、数字签名、全网出现频率和社交关系判定风险。这类检测对只有少数人使用的文件基本失效因为信誉系统需要足够多的样本量来建立基线。第四道是行为沙箱。样本在受控环境中被动态执行引擎记录它产生的API调用序列、文件操作、网络连接然后和恶意行为规则库比对。这里有个关键点**四道工序的执行顺序不是任意排列的而是按照开销从小到大、误报从低到高的顺序设计的。**特征码最便宜先跑云查需要网络IO次之行为沙箱最昂贵放最后。这意味着攻击者只需要骗过最先跑的环节就有机会让后续更深入的分析根本不启动——这就是免杀得以成立的基础。2.2 检测盲区不在引擎能力而在检查假设我观察到一个非常有意思的现象很多安全产品的检测能力其实不弱但漏报依然大量发生根源在于引擎有一套隐含的检查假设而攻击者精准地踩在这些假设的缝隙里。最常见的假设包括恶意代码一定存在于文件中执行的入口点一定在PE头部标注的位置程序一定通过常规API与系统交互网络外带一定走HTTP或HTTPS端口恶意载荷一定会落地到磁盘。这些假设在十年前基本成立但放到当下的攻击链里几乎每一条都有对应的绕过实践。内存无文件攻击直接打破一定存在于文件中入口点混淆打破一定在PE头部间接系统调用绕过API监控DNS隧道和ICMP隧道绕过传统端口检查。所以防守方在做免杀检测时不要只盯着引擎的检出列表看更要反过来问一句我的检测方案默认了攻击者会怎么做事如果它假设的所有前提都被规避了我的体系还剩什么这个视角转换是我认为免杀检测区别于普通查杀运维的核心分水岭。2.3 从检出率思维切换到覆盖度思维传统安全运营喜欢比检出率比如这个样本库我们能扫出98%。但免杀检测领域我更推荐用覆盖度来思考你的检测点覆盖了文件的哪些生命周期阶段是只覆盖了落盘瞬间还是覆盖了执行前、执行中、内存态、持久化、外带全链路为什么强调这个因为我做过一个对比测试同一批恶意样本某引擎在静态扫描环节检出率超过90%但放到真实运行链路里去观察最终只有不到一半的样本能在首次行为触发时被拦截。大量的样本熬过了静态检查却是在后续的第二跳、第三跳中被发现。换句话说高检出率带来的安全感很容易被攻击链的纵深打破。免杀检测的目标应该是让攻击者在每个检查点都要重新做一次绕过而不是一锤子买卖。3. 攻击者常用的免杀手段防守方必须看懂的攻击面做免杀检测不了解对手用的是什么手法就像在黑暗里找一根针却不知道针长什么样。下面这些手段我按照从改文件到改行为的递进关系来梳理每一类都对应着不同的检测突破口。3.1 混淆与变形让黑名单失去匹配目标这类手法的核心逻辑很简单恶意行为的本质不变但呈现形态不断改变让基于固定形态的规则失效。最常见的是字符串加密和API动态解析。恶意代码把关键字符串比如URL、命令参数、注册表路径用XOR、Base64或AES加密存起来运行时才解密。杀软如果特征匹配的是明文字符串遇到加密后的样本就彻底失配。API动态解析则是把程序调用了CreateRemoteThread这种固定调用关系拆成程序运行时通过遍历进程环境块找到kernel32基址再通过解析导出表定位函数地址再计算偏移后跳转调用静态分析很难从代码形态上还原出真实的API调用链。再往上一层是控制流混淆。攻击者会把程序的控制流图打散插入大量不透明谓词和死代码让反编译工具看到一团乱麻。这类样本的特征就是静态分析成本极高你明明觉得它不对劲但就是找不到一条明确的恶意路径。检测思路这类混淆手法无法消除痕迹只能让痕迹更分散。可以重点检查文件的熵值和结构异常——比如一个正常小工具压缩段占比异常高、导入表被掏空、区块名被改得面目全非本身就值得高优先级分析。我常用的一个判断技巧是看一个文件的信息熵曲线恶意混淆样本通常在资源段或代码段出现异常的熵峰值而正常编译的程序熵值分布相对平缓。3.2 加载器分离让脏代码和坏行为分居两地现在攻击者很少把恶意功能直接写进初始样本更常用的是加载器载荷分离模式。加载器本身干净负责在运行时从远程服务器、图片文件、云存储或者合法服务里拉取下一阶段载荷再通过内存加载或进程注入的方式执行。GitHub仓库、图床、甚至某些网盘都可能成为恶意载荷的中转站。这种模式对检测的杀伤力在于你抓到加载器时它里面没有任何直接可见的恶意逻辑等你跑去溯源远程地址时对方早就换了域名和载荷。而且加载器往往只执行一次拉完就完事行为细节极其有限。检测思路对加载器要盯的不是它做了什么恶意操作而是它为什么这么做。一个正常软件不太可能在运行时动态下载一段加密数据然后申请带执行权限的内存去解析它。把远程拉取数据内存权限异常执行非镜像数据这个行为组合作为检测点比单独监控调用了某API要有效得多。3.3 无文件与内存执行跳出文件查杀的视野边界无文件攻击不是真的没有文件而是恶意载荷在磁盘上的存在时间极短或者根本不落盘。常见落地形式包括PowerShell脚本内存执行、WMI事件订阅持久化、注册表Run键写入指向恶意命令、或者利用漏洞直接获得代码执行后仅驻留内存。这类攻击的检测难点在于整个攻击过程使用的都是系统自带的合法程序和自带脚本引擎没有任何第三方恶意程序出现。安全产品如果只盯着新出现的文件就会漏得干干净净。检测思路无文件攻击没有文件但一定有进程行为和命令行痕迹。把父进程是Office/脚本宿主命令行里出现编码字符串子进程链短时间内多次伸缩这些行为组合关联起来就能构造出有效的行为检测规则。我处理过的一个典型案例是某钓鱼文档释放PowerShell脚本脚本只做了一件事——把一个加密shellcode通过APC注入到另一个进程整个攻击链没有在磁盘上写任何一个可执行文件。如果当时只依赖文件扫描这个样本就是纯粹的隐形状态。3.4 白名单滥用与签名欺骗利用信任边界最高级的免杀往往不是变着法子躲而是大摇大摆地走正门。攻击者会用有效签名或合法工具来承载恶意功能——包括使用带签名但有漏洞的驱动加载恶意程序、用系统自带的白名单工具做文件传输和横向移动、通过滥用COM对象实现隐蔽执行。这类攻击对信誉系统的冲击最强——文件有签名来源看似可信行为单看也合理但组合起来就是一条完整的攻击链。检测思路白名单滥用必须靠异常上下文来识别。一个正常系统签名工具被调用是常态但同一时间内被异常多的进程调用、由可疑的父进程启动、配合了非常规参数这就值得告警。换句话说信任是需要上下文支撑的脱离上下文的信任等于没有信任。4. 从检出不透明到可解释实战分析的几条路径讲了这么多原理回到最现实的问题手上拿到一个疑似的免杀样本我应该按什么路径去分析我在这里给出我自己在实战里沉淀的一套流程按从外到内、从静到动、从单点走向关联的顺序展开。4.1 第一步静态排查时不只问报不报毒更要问哪里有异常很多人分析样本第一步就是丢进扫描器看结果。不是说这不行而是只做这一步远远不够。我会多做几件事看PE头时间戳是否合理很多工具为了伪造编译时间时间戳会设置在奇怪的年份看区块数量和名称是否符合正常编译器产物看导入表是否有异常的API组合在shellcode层面重点检查是否存在解密循环的典型形态——一段代码对自身数据做循环改写这种结构几乎不会出现在正常业务程序里。这一步的核心产出是把我觉得可疑翻译成我找到了几个具体的可疑点这样后续进入动态分析时你才知道应该重点观察哪些行为。4.2 第二步沙箱检测里做行为链而不是行为点分析传统的沙箱报告会给出一堆API调用记录但如果你只查它有没有调CreateRemoteThread你会漏掉大量间接绕过手段。我更建议把行为组织成链来看读取远程配置 → 解密数据 → 内存申请(PAGE_EXECUTE_READWRITE) → 写解密数据到内存 → 跳转执行 → 外连固定IP端口这一整条链路里任何单个环节都可以被解释成正常行为申请可执行内存可能是JIT引擎的常规操作外连固定IP可能只是一个更新检查。但当你把远程数据解析可执行内存非镜像代码执行串联起来可疑程度就急剧上升。这个行为链思想是我认为免杀检测里最值得反复练习的能力——它是把割裂的证据拼成完整故事的过程也是对抗单点检测失效的最有效手段。4.3 第三步对抗混淆时活用痕迹残留很多人面对高强度混淆的样本会感到绝望觉得代码完全读不懂。我的经验是混淆抹掉的是逻辑的直接可见性但抹不掉的是执行过程的痕迹残留。举个例子一个样本把API地址计算过程做得极其复杂但无论它怎么混淆最终总要调用系统API才能真正干活。那么你在内存里下硬件断点观察程序运行时真实访问的API序列就能绕过所有静态混淆。再比如字符串被加密了但它运行时必然会在内存中生成明文字符串你在内存转储里搜索特定格式的痕迹URL、IP、注册表路径照样能还原出恶意功能。这正是免杀检测和简单文件扫描的本质区别前者追的是行为真相后者追的是文件表象。4.4 第四步回归到检测工程把单次分析变成可复用规则单次分析再深如果结论不能沉淀为检测规则那它的价值就只局限在这一次应急响应里。我在每次样本分析结束后都会强制自己回答一个问题这个样本暴露出的检测盲区能否转化为一条新的检测逻辑比如某次分析发现样本使用了一种新的进程注入变体我会把它抽象成创建线程时指定了外部进程句柄源地址位于可写内存这样一组特征交给检测规则去持续监控。免杀检测的能力提升本质上是这样一个分析一个样本→沉淀一条规则→下次遇到变体时更快识别的正向循环。提示要特别注意规则的质量控制宁可规则少而精也不要因为规则过宽导致告警疲劳。一个被安全团队忽视的高质量告警远不如一个精准的稀有告警有价值。5. 给检测工程化的几条建议别只做工具人分析单个样本的能力只是基本功真正让免杀检测体系落地还需要工程视角。这几年我见过不少团队单点分析能力很强但整体检测体系一盘散沙。下面这几点是踩过不少坑之后觉得最值得说的。5.1 检测点要跟着攻击链走而不是跟着文件走前面反复强调的覆盖度思维落地上就是一句话梳理出针对你们行业和资产特征的高频攻击链在攻击链的每个必经阶段埋下检测点。攻击者可以绕过你某一个检测点但他很难把所有阶段的行为都伪装成正常活动。比如一段攻击链必然需要执行代码→持久化→外带数据你在这三个环节分别部署行为检测就算第一个环节被绕过第二第三个环节仍然有机会兜住。5.2 关联分析比单点告警更值钱单点告警解决的是我看到一件事发生了关联分析解决的是我看到一件事和另一件事之间存在可疑关系。这两者的价值差距非常大。举例来说一条孤立的告警某文档宿主进程执行了PowerShell每天可能出现几百次安全分析师很快就会麻木但如果你把这条告警和PowerShell进程随后访问了从未出现过的主机名关联起来它就变成了一条高价值线索。很多单位买了很贵的检测设备却只用了其中最浅的一层单点检测功能这是巨大的浪费。免杀检测的核心竞争力就藏在关联分析层里。5.3 定期用自己人验证检测能力免杀检测有一个特点长期没有真实威胁触动规则规则就会慢慢变质——要么被业务噪音淹没要么被新的绕过手法打穿。我建议每隔一段时间用自己构造的、模拟当前常见攻击手法的测试样本在不通知其他同事的情况下观察检测体系能不能把它捞出来。没有攻击者会提前告诉你他来了检测体系只能靠主动验证来保持灵敏度。6. 写在最后的个人体会前两天处理完一个样本凌晨坐在屏幕前复盘整个分析链路突然意识到一件事免杀检测做到最后拼的不是某一款工具多强也不是某一条规则多精而是你能不能持续保持假设会漏的清醒。攻防双方永远在不对称的信息环境里博弈。攻击者只需要找到你一个盲区就能得手你却要同时防住所有方向的试探。这种局面很容易让人焦虑但我更愿意把它看成一场长期的攻防能力竞赛——每一次成功分析一个高混淆样本你对恶意是什么的理解就深一层每一次补上一个检测盲区攻击者下一次进场时的成本就高一分。这篇先讲到这里下篇我打算重点拆解几类主流的绕过手法从具体样本出发把静态混淆、动态Evasion、内存注入这几条对抗链路完整走一遍。如果你自己在分析免杀样本的时候有什么有意思的思路欢迎交流。
