隐蔽型恶意软件

隐蔽型恶意软件集合了大量逃逸技术:对系统 API 进行钩子以隐藏文件和进程、拦截完整性检查、检测沙箱和虚拟机、反调试、代码混淆、利用合法系统二进制(LOLBins)、时间戳篡改、操作完成后清除日志等。Rootkit、高级银行木马、APT 植入物以及许多勒索软件 loader 都属于此类。检测依赖具备内核可见性的 EDR、内存取证、网络流量分析、基于 TTP(如 MITRE ATT&CK)的威胁狩猎,以及外发到独立日志系统的防篡改日志。加固措施包括安全启动、强制签名驱动、最小权限,以及通过主动狩猎缩短驻留时间。