标签：11 检测 Beacon 内存 Bypass BeaconEye 检测工具 C2Profile
这是[信安成长计划]的第 11 篇文章
关注微信公众号[信安成长计划]
0x00 目录
0x01 检测原理
0x02 检测方案
0x03 存在的问题
0x04 解决方案
0x05 示例代码
0x06 写在最后
年也过了，继续开始卷卷卷...
目前使用比较多的检测工具就是 BeaconEye，在之前的文章中也已经提到过它的检测原理与 Bypass 的方法《Bypass BeaconEye》《Bypass BeaconEye - Beacon 堆混淆》，BeaconEye 所依赖的就是 C2Profile 解析后的内存结构来检测的，根据之前逆向分析的成果，发现还有一种检测的方案而且也相对增加了绕过的难度
0x01 检测原理
BeaconEye 所依赖的是 C2Profile 解析后的固定内存结构，对于其解析的逻辑在之前也已经提到过了，这里也就不详细说了
对于 Beacon 的检测，针对 C2Profile 是一个比较稳妥的方案，这样会降低误报的概率，所以还是按照这个逻辑继续走才比较稳妥，所以检测逻辑就可以从检测 C2Profile 数据，改变为检测解析 C2Profile 的代码，或者获取 C2Profile 数据的函数
根据之前对 C2Profile 全流程的分析，这里就可以有四个检测方案——解析函数、GetShortValue、GetIntValue、GetPtrValue
0x02 检测方案
在检测的时候，可以直接将整个函数都作为特征，为了方便起见，也可以再缩小检测范围，这里以 GetShortValue 为例
经过观察可以发现，所有的获取函数在获取完值以后，都会再判断一下当前的类型是否正确，所以就可以把这一点拉出来作为检测的一个特征
再或者将寄存器取值作为特征也都是可行的，而且还能跟其他几个点进行配合，相互之间的组合方式也就有很多种了
0x03 存在的问题
以这些点来作为特征也存在一个问题，CS 自带的 Sleep_Mask 会在 Sleep 的时候将整块内存都进行混淆，我们之前也进行过分析它具体的实现原理，所以还需要在对之前的检测方案进行完善
根据之前的混淆逻辑可以很清楚的发现，CS 是将加解密函数拷贝到了 text 段的结尾位置，并且在处理完以后当前内存就一直存在了，不会去对其进行清理
0x04 解决方案
既然这样，那就直接按照前面所说的逻辑，直接将加解密函数作为特征来完成对 Beacon 的检测
如果计划缩小特征码，逻辑也与之前一致，从中间取出关键的几个步骤即可
0x05 示例代码
想了想代码还是交给你们自己写吧，将上面提到的几个方案的特征提取出来，在全内存中进行搜索即可
在网上搜 “内存搜索特征码” 也能找到很多可以来参考的例子
0x06 写在最后
其实整个的操作就是在进行特征码的搜索，这也就是被针对以后的问题了，倒是不是不能 Bypass，就是会比之前更麻烦一点，就是进行 inline Hook 关键的位置，然后将原始的内容抹零就好了。
标签：11,检测,Beacon,内存,Bypass,BeaconEye,检测工具,C2Profile 来源： https://www.cnblogs.com/SecSource/p/15861805.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。