银狐木马变种难防？天擎六合引擎默认内存查杀

六合引擎介绍

长期以来，银狐（Ghost）、WinOS、PlugX、Cobalt Strike、Sliver、Havoc 等通用木马框架被黑客广泛使用。为了绕过传统终端杀软和 EDR 的检测，攻击者通常会采用免杀加载器、内存注入等技术，甚至不惜重金为加载器代签数字签名，以规避静态特征检测，实现通用木马在不落地磁盘的情况下加载进内存中。尽管安全厂商持续披露这些恶意代码的变种^[1]，但传统的特征检测方式仍然难以应对日益复杂的免杀手段。

那么，是否存在一种防御引擎，能够无视外层免杀技巧，直接检测内存中的恶意行为并精准告警？

天擎下一代威胁检测产品：“六合”高级威胁防御引擎自推出以来，大幅提升了安全团队的威胁狩猎能力，已发现多起境外顶级APT组织针对国内的全程无文件间谍活动，银狐（Ghost）等黑产木马更是不在话下。无论攻击者如何变换免杀手法、使用多少合法签名，只要用户购买并部署天擎“六合”模块，即可实现默认拦截，有效阻断通用木马攻击。

银狐（Ghost）木马内存检测截图：

Cobalt Strike木马内存检测截图：

Sliver木马内存检测截图：

Havoc木马内存检测截图：

合法签名滥用活动

基于天擎“六合”高级威胁引擎告警，发现带有合法数字签名的安装包运行后的内存中出现银狐（Ghost）木马特征，随即进行溯源发现上层仿冒网站如下：

下载的恶意安装包带有合法的数字签名：

黑产和APT组织在木马上使用国内数字签名基本都是通过代签服务，据我们了解一次代签收费2w-5w不等，是比网络攻击利润率更高的黑色产业链，涉及的数字签名：

Xi'an Vanci Electronic Technology Co., Ltd.

恶意逻辑为加载器,读取释放的文件并解密：

解密后将银狐（Ghost）木马注入到explorer.exe进程中。

该案例涉及的加载器和注入器都是目前黑产和中低水平的APT组织常用的武器，六合引擎可以实现全流程监控和内存检测，当六合引擎在explorer.exe系统进程中检测到银狐特征后，会直接从内存中读取C2，并展示给用户，方便后续排查通报。