Re Evasion

检测规避与 EDR 对抗分析

何时使用 / 何时不用

• 用：恶意样本/工具被检测（杀软、EDR）后分析其规避手段——AMSI 绕过、ETW 禁用、无文件执行、lolbin 链
• 用：回答"为什么被检测"与"绕过点在哪"（与检测侧对齐，步骤 5）
• 用：无文件/内存载荷的执行链分析（载荷不落盘的样本）
• 不用：纯静态代码分析（那是 [[re-binary-core]]）；不关心绕过机制、只观察行为的动态分析（那是 [[re-behavior]]）
• 不用：检测规则编写本身（那是 [[re-ioc]] 的 YARA 与检测工程侧）
• 注意：本技能以 Windows 为主（AMSI/ETW/lolbin 均为 Windows 概念）；Linux/macOS 的类似对抗（ptrace 检测、Dyld 注入、kext 绕过）按同一"规避识别→绕过点定位"框架套用

工具准备

规避分析必须动态执行 + 内存取证：全程在沙箱内（[[re-sandbox]] 强制前置，[[re-analyze/platform-tips]] 最高原则）。所有工具先验证再使用。

amsi.dll 内存对照 —— AMSI patch 定位主力（无独立安装包）

• 原理: 磁盘 C:\Windows\System32\amsi.dll 与内存中的 amsi.dll 逐字节对照，函数头差异即 patch 点
• 取内存拷贝: Sysinternals procdump（微软官网/winget install Microsoft.Sysinternals.Procdump）procdump -accepteula -ma <pid> mem.dmp；或 [[re-memdump]]（gcore/WSL）全量转储
• 验证: 对未运行样本的场景用 AMSITrigger 兜底；对照脚本见步骤 2

AMSITrigger —— 定位触发 AMSI 扫描的字符串（Outflank 出品）

• 下载: GitHub 检索 AMSITrigger（原 outflanknl 仓库已不可用，社区镜像常见，如 RythmStick/AMSITrigger）；.NET 工具，解压即用
• 验证: AMSITrigger.exe -i test.ps1 输出逐行触发状态（Detected / Not Detected）
• 用途: 分析"脚本里哪些字符串触发检测"→ 对应混淆/规避目标

ETW 监控 —— logman / SilkETW / WPR / ETWConsumer 类工具

• logman（Windows 内置）: 验证 logman query providers | findstr /i sysmon；logman query -ets 看活动会话
• SilkETW（Mandiant 开源，C#）: GitHub releases 下载；验证: SilkETW.exe -t user -pn Microsoft-Windows-Sysmon -ot file -p out.etl 能生成 .etl
• WPR（Windows Performance Recorder，内置）: wpr -start 后 wpr -stop out.etl
• ETWConsumer 等第三方 ETW 消费者工具（GitHub 检索，按需）；本机看 provider 的替代: tracerpt 解析 .etl
• 用途: 确认 ETW 是否被禁——事件流中断/缺失即禁用证据（见步骤 3）

Sysmon / procmon —— 进程链与执行行为（lolbin 链追踪）

• Sysmon（Sysinternals，微软官方）: 配置含 ProcessCreate（事件 1，记录父子进程与命令行）；验证: Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational';Id=1} | select -First 1
• procmon（Sysinternals）: 文件/注册表/进程/网络全量，可按进程树过滤；验证: procmon.exe /AcceptEula /Quiet 能启动
• 二者均无发行版包，从微软官网/Sysinternals 下载

操作步骤

按顺序执行，每步产物（内存转储/ETL/日志/命令行走访记录）存档 sha256 + 路径（[[re-ioc]] 证据链要求）。

1. 规避手段识别（先分类再深入）：

   • 输入: 样本/工具 + 检测触发信息（杀软告警、EDR 日志、沙箱告警）
   • 分类清单（按特征归档）: AMSI 绕过（patch / 反射加载）、ETW 禁用（patch provider / 掩码）、无文件（内存执行 / 注册表运行键 + 远程脚本 / WMI）、lolbin 链（rundll32 / mshta / regsvr32 / WMI / PowerShell）、字符串编码混淆（防特征）
   • 证据采集: 沙箱内运行（[[re-sandbox]]）→ Sysmon/procmon 记录进程创建链与命令行；同时 [[re-memdump]] 留内存快照（默认转储优先，[[re-analyze/platform-tips]]「直读 vs 转储」）；PowerShell 开启 ScriptBlock 日志（事件 4104）与模块日志
   • 先跑一遍不 patch 的基准样本确认"检测触发点"（见坑 5 与步骤 5 对齐）

2. AMSI 绕过分析（内存 patch 定位）：

   procdump -accepteula -ma <pid> mem.dmp        # 运行后取进程内存（或 gcore，见 [[re-memdump]]）
   # 对照: 磁盘 amsi.dll 与内存中 amsi.dll 的函数头字节
   # 常见 patch: AmsiScanBuffer 入口改为直接返回 0x80070057（"AMSI 已初始化"假成功）
   #            或 EtwEventWrite 系列前几字节 patch 成 ret

   • 定位法: 磁盘 amsi.dll 里 AmsiScanBuffer 的入口偏移（Ghidra/IDA 或 dumpbin /exports）→ 内存 dump 同偏移字节对照；有差异即 patch 点
   • 其他形式: 反射加载 amsi.dll 前 hook（Detour 到用户代码）、CLR 侧绕过（托管层关闭 AMSI provider）
   • 用 AMSITrigger 验证"哪些字符串触发"→ 样本混淆目标与绕过有效性互证
   • patch 定位前确认环境基线: 不运行样本时磁盘/内存 amsi.dll 一致（排除 EDR 自身 hook 干扰，见坑 4）

3. ETW 禁用分析：

   logman query -ets                                   # 活动会话；与样本运行前后对比
   # SilkETW 捕获: 运行样本前后各抓一段，对比事件数量/内容
   # 定位: 内存中 ntdll 的 EtwEventWrite / EtwEventWriteEx 前几字节 vs 磁盘（同步骤 2 对照法）

   • 禁用证据: 样本运行后 ETW 事件流中断（某 provider 零事件/整体丢失）；patch 点通常位于 ntdll 的 EtwEventWrite*
   • 确认范围: 全局禁用（改 EtwEventWrite 本身）vs 特定 provider 禁用（改 provider 的 enable 掩码/Level）——决定影响面与检测侧恢复建议
   • 与 AMSI 常组合出现（一个 patch 多个目标），对照报告两者联动（见坑 1）

4. lolbin 链追踪（rundll32/mshta 等）：

   # Sysmon 事件 1（ProcessCreate）按进程树关联，重点看父进程 + 命令行
   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational';Id=1} |
     Select TimeCreated, @{n='Parent';e={$_.Properties[1].Value}}, @{n='Image';e={$_.Properties[3].Value}}, @{n='Cmd';e={$_.Properties[4].Value}}

   • 典型链: cmd → rundll32.exe javascript:"..."、regsvr32.exe /s /n /u /i:http://... scrobj.dll、mshta.exe javascript:...、powershell -enc ... → 内存载荷
   • 关键: 只看样本自身进程会漏掉真实行为（样本借道白名单进程执行——见 [[re-sandbox]] 的 brokered execution 坑）；按整条进程树观察，父→子逐级记录
   • 无文件判定: 进程映像路径非常规（%TEMP%）、脚本引擎（wscript/cscript/mshta）加载远程或纯内存内容、无对应磁盘文件——载荷证据靠内存转储与命令行（见坑 3）

5. 与检测侧对齐（为什么被检测 → 规避点）：

   • 把检测告警命中的内容（触发字符串/行为签名/导入表特征）与步骤 2-4 的证据对照，形成: 检测点（杀软签名/行为规则）→ 规避点（patch/混淆/lolbin）→ 仍可被检测的缺口（见坑 4 版本差异）
   • 输出: 规避手法清单 + 对应 IOC——内存 patch 后 amsi.dll/ntdll 的哈希、lolbin 组合的命令行模式、无文件载荷的内存特征（进 [[re-ioc]] YARA）
   • 结论必须标注验证环境（OS 版本/EDR 版本/杀软），规避有效性声明带版本限定