免杀Loader1加载器(文件分离版)技术解析与实现指南

一、技术概述

本文详细解析一种基于文件分离技术的免杀Loader实现方案，该方案能够绕过主流安全产品检测（包括360、火绒、Windows Defender等），实现Shellcode的有效加载执行。

二、核心实现原理

1. 加载器工作原理

• 基础流程：
  • 内存申请 -> Shellcode放入内存 -> 内存执行
• 关键组件：
  • Shellcode加密处理层
  • 非常规API调用层
  • 文件分离架构

2. 免杀技术要点

• Shellcode处理技术：

  • SGN加密
  • RC4加密
  • 文件分离
  • 网络分离
  • AES加密
  • 异或加密

• API选择策略：

  • 使用非常规但功能等效的Windows API
  • 避免使用常见恶意代码特征API

三、具体实现步骤

1. 环境准备

• Cobalt Strike (CS) 环境
• Python环境（用于加密脚本）
• 编译器（推荐MinGW或VS）

2. Shellcode生成与处理

1. 在CS中生成Shellcode（有阶段/无阶段均可，有阶段更易编译）
2. 使用SGN加密原始Shellcode
3. 对SGN加密结果进行RC4二次加密
4. 使用rc4.py脚本处理后会生成sc.txt文件

3. 加载器核心代码实现

// 使用非常规内存分配API
LPVOID pAlloc = AllocADsMem(shellcode_size);

// Shellcode解密与加载逻辑
// 此处应包含RC4解密实现
// ...

// 内存执行逻辑
// ...

4. 编译优化

1. 批量编译测试
2. 隐藏黑框（控制台窗口）
3. 参数Fuzz测试

四、关键技术点详解

1. AllocADsMem() API分析

• 所属库: Active Directory Service Interfaces (ADSI)
• 功能: ADSI编程中的内存分配函数
• 优势:
  • 不在常规内存分配API监控范围内
  • 功能与VirtualAlloc等等效
  • 目前安全产品特征库覆盖不足

2. 文件分离架构

• 实现方式:

  1. 将加密Shellcode存储在独立文件中
  2. 加载器运行时读取并解密
  3. 内存加载执行

• 优势:

  • 避免整体文件特征检测
  • 便于后期更新Shellcode
  • 降低静态分析风险

3. 多层加密方案

1. SGN加密: 首层混淆
2. RC4加密: 二次保护
3. 文件分离: 结构隐匿

五、测试验证

1. 测试环境

• 测试时间: 2025年5月28日
• 安全产品:
  • 360安全卫士
  • 360云查杀
  • 微步在线
  • 火绒
  • Windows Defender

2. 测试结果

• 360系列: 完全绕过
• 微步在线: 1/24检测率（未上传过360检测的马）
• 火绒: 删除9个样本，保留1个（需测试内存查杀）
• Windows Defender: 确认绕过（无截图）

六、防御对策

1. 检测建议

• 监控非常规内存分配API调用
• 加强内存行为分析
• 关注ADSI相关API异常使用

2. 防护措施

• 启用行为沙箱分析
• 实施多层防御策略
• 定期更新检测规则

七、总结

本方案通过创新的API选择和多层加密技术，结合文件分离架构，实现了较高的免杀效果。关键在于：

1. 突破常规API使用模式
2. 多层加密混淆
3. 结构分离设计
4. 持续的编译参数优化

安全研究人员应关注此类非常规API使用模式，加强行为分析能力，而非依赖静态特征检测。