- 博客(88)
- 收藏
- 关注
RSS订阅原创 观成科技：C2框架OverlordRAT流量分析
在Server验证签名通过之后，会在数据库中查询这台机器的审批状态，如果是第一次上线，则会进入审批阶段，该阶段的连接不会被挂起等待管理员的审批，而是会被Server直接关掉。Agent第一次上线，管理员要在面板里批准，没批的连接会被close（4001）掉，30秒后重试；4、WSS连接建立完成后就会开始双向心跳和屏幕截图，Agent心跳默认是30 秒一次、Server心跳15秒一次，这两个心跳周期时间都可在环境变量中修改，Server超过70秒收不到来自Agent的消息就会判定它失联了。
2026-11-03 15:44:36
169
原创 观成科技：本土化诱饵下的潜伏威胁：海莲花借国内机票报销凭证投递Moyea远控木马
北京观成科技安全研究团队分析发现，APT组织“海莲花”（OceanLotus）针对中国境内目标发起新一轮定向攻击，利用伪装成机票报销凭证的ZIP压缩包投递恶意载荷，通过LNK文件执行VBS脚本，结合DLL侧加载与多层加密技术，释放名为Moyea的远控木马。该木马采用HTTPS+RC4加密通信，支持远程命令执行、文件操作及配置更新，具备高度隐蔽性与本土化诱饵设计。观成瞰云（ENS）系统可有效检出相关威胁，建议加强终端防护与流量监测。
2026-09-29 15:24:35
251
原创 观成科技：哥斯拉内存马加密流量分析
<think>我们要求根据内容生成≤150字的文章摘要。摘要需要概括主要内容：哥斯拉内存马通信流量分析，包括连接复用、TLS记录大小分布、两段式结构、多流时序等特征，用于检测。要简洁。</think>哥斯拉内存马无文件落地，但其TLS加密流量存在独有特征：每条命令新建TCP连接、请求响应呈“两段式”记录结构、TLS记录大小稳定、多流严格串行。基于这些维度可有效识别，弥补传统流量检测不足，为红蓝对抗提供检测思路。
2026-08-31 13:49:46
413
原创 【观成科技】“银狐”的UDP暗道：加密通信机制的对抗与升级
摘要：观成安全团队发现银狐木马近期出现采用UDP自定义加密协议的新变种，其通信机制较以往TCP协议样本有明显变化。该变种通过四步握手建立会话后采用"一会话一密钥"的XOR动态加密传输数据，并在应用层实现了类似TCP的ACK确认与重传机制。分析显示其数据包包含24字节固定头部（含会话ID、包类型等字段）和可变载荷，密钥通过随机值与固定常量派生生成。观成瞰云(ENS)系统已能有效检测此类威胁，研究表明银狐木马正朝多协议化、高随机化方向演进，增加了检测难度。（149字）
2026-07-29 10:39:17
363
原创 观成科技：冰蝎内存马加密流量分析
摘要：冰蝎（Behinder）内存马是一种新型Webshell攻击技术，通过中间件漏洞将恶意Agent注入JVM内存，以Servlet/Filter/Listener形式驻留，规避传统文件检测。其加密通信采用动态AES密钥协商和TLS加密传输。研究发现，内存马流量在TCP连接复用（单次连接即断开）、TLS记录大小分布（固定大块+小包模式）、多流时序（无重叠规律间隔）和TLS指纹等方面具有独特侧信道特征。观成瞰云系统基于这些行为特征实现了有效检测。该研究为无文件攻击的加密流量检测提供了新思路。
2026-06-30 14:44:04
369
原创 【观成科技】APT37新武器FootWine加密通信全面剖析
该木马采用自定义TCP协议与C2服务器通信，其通信设计体现出较强的对抗分析意识：通过动态密钥交换机制协商会话密钥，后续所有控制指令和数据传输均使用该密钥进行XOR加密，同时还引入了包大小混淆与随机填充。服务器返回的数据包结构与客户端一致：前4字节用于表示混淆数据大小，随后32字节为sessionkey与硬编码数据异或的结果，剩余部分为随机填充数据。客户端发送的首个数据包用于同步密钥，数据格式如下：前4字节表示混淆数据大小，接着32字节为随机生成的sessionkey，其余为随机填充数据。
2026-05-29 11:04:33
360
原创 观成科技：利用DoH加密通信的恶意木马流量分析
摘要：本文探讨了攻击者利用DNS over HTTPS（DoH）协议加密特性隐藏恶意流量的技术手段，通过Cobalt Strike和Vshell木马案例分析了DoH加密通信的行为特征。研究发现，DoH将DNS查询封装在HTTPS流量中，使恶意活动伪装成正常上网行为，规避传统检测。文章对比了HTTP/1.1与HTTP/2协议下DoH木马的流量差异，包括帧类型、数据传输方式等关键特征，并提出了基于载荷分布和行为模型的检测方法，有效识别了隐蔽的C2通信。研究为防御DoH滥用提供了技术参考。
2026-04-30 10:58:10
457
原创 观成科技：远控木马KTLVdoor加密通信分析
2024年9月，趋势科技发现新型多平台远控木马KTLVdoor，同时支持Windows和Linux系统。该木马通过英伟达签名程序加载恶意DLL，采用多层加密技术（包括AES-GCM-256）实现隐蔽通信，具备文件操作、命令执行等丰富功能。其独特之处在于：使用合法域名伪装SNI、对密文进行随机填充规避检测，并会先查询受害主机公网IP。观成科技的加密威胁检测系统已能有效识别该木马的通信特征和行为模式。安全团队建议重点关注其前期IP查询行为，结合加密流量分析实现精准检测。
2026-03-26 14:26:24
429
原创 观成科技：Stowaway代理工具解析
Stowaway是一款基于Go语言开发的开源多级代理工具，主要用于渗透测试中的内网穿透。该工具采用客户端/服务器架构，支持TCP、HTTP、WebSocket等多种协议，提供正向/反向连接、SSH隧道、端口复用等功能。其通信协议采用固定头部结构（36字节），数据经过Gzip压缩和AES-256-GCM加密。特征包括：16字节预认证Token、6个交互报文的握手流程、10秒间隔心跳机制，以及HTTP/WebSocket模式下的硬编码URL和请求头。这些固定特征使得该工具流量具有较高可检测性，专业安全系统可通过
2026-03-10 16:32:06
545
原创 【观成科技】C2框架AdaptixC2加密流量分析
AdaptixC2是一款轻量级模块化C2框架，采用HTTP/HTTPS协议通信，具有简洁灵活的特点。其工作流程分为指令下发、执行和结果返回三个阶段，通信数据采用RC4加密。研究发现该工具在数据包长度、请求头特征等方面存在固定行为模式，即使经过TLS加密仍可被检测系统识别。通过分析其通信特征和加密规律，安全团队已建立有效的检测手段，将持续跟踪此类C2工具的演变以提升防护能力。
2026-01-22 11:06:27
851
原创 【观成科技】银狐再进化：新型变种加密通信机制分析
观成安全团队发现银狐木马新变种采用全新加密方案，核心特征包括动态密钥派生机制和"一会话一密钥"技术。该变种通过TCP协议与C&C服务器通信，采用20字节随机数生成AES-128密钥，数据包包含系统信息、进程列表等敏感数据，并每5秒发送加密心跳包维持连接。相比之前版本，该变种采用更复杂的动态密钥技术提升隐蔽性，表明银狐木马家族正加速加密技术演进。观成瞰云系统已能有效检测此类威胁，团队将持续跟踪其技术发展。
2025-12-26 10:07:40
1021
原创 观成科技:Zloader木马家族加密流量分析
摘要：Zloader木马最初作为银行木马Zeus的下载器，现被广泛用于勒索软件投递。其采用多种加密通信技术规避检测：1）DGA技术生成随机域名；2）DNS隧道隐藏数据；3）HTTPS加密通信；4）Websocket掩码加密。最新版本通过会话密钥强化DNS隧道加密。观成科技利用AI模型结合TLS指纹检测HTTPS加密流量，持续通过行为分析和机器学习应对加密威胁。研究表明，恶意软件正不断升级流量对抗技术，凸显加密流量检测的重要性。（149字）
2025-12-12 11:31:49
1053
原创 【涨知识】武器库升级：蔓灵花组织近年攻击武器加密通信分析
摘要：蔓灵花组织（Bitter）2024-2025年持续升级攻击武器库，在保持wmRAT等传统工具的同时引入Kiwi2.0、MiyaRAT、Geoshell等新型恶意软件。技术改进包括：更新wmRAT通信密钥至0x15；MiyaRAT新版采用0x4c的XOR加密；Geoshell使用AES-256-CBC加密；ShadowRAT及其变种INETRAT采用TLS协议通信。该组织通过加密算法升级和协议多样化提升隐蔽性，但仍以XOR等简单加密为主。观成安全团队通过加密流量分析技术实现了对这些武器的有效检测。
2025-11-26 13:45:55
1207
原创 观成科技：Loki远控工具加密流量分析
Loki是一款采用TLS加密的C2远控工具，其运行流程分为控制端启动、生成恶意载荷、受控端上线和命令控制四个阶段。工具在证书指纹（自带"Loki"标识）、固定端口（256）和心跳行为（5秒间隔85字节流量）等方面存在明显特征，可通过这些加密流量特征进行有效检测。观成瞰云系统已具备对该工具的检测能力，研究团队将持续跟踪其更新特征以保持防护能力。
2025-11-13 10:45:28
781
原创 以道高一丈，破加密魔盒——银狐木马最新变种加密技术全面揭秘
2025年活跃的“银狐”木马呈现出加密通信技术快速演进的特征：1）采用动态密钥选择机制，通过96字节密钥表分块，结合异或、加减法及位移运算；2）引入RC4+Base64标准算法组合，采用服务端主动通信模式；3）在保持XOR+加法+Zlib架构基础上定期轮换密钥和标识符。这些技术升级显著提升了通信隐蔽性和反检测能力。目前观成安全团队已实现对新型样本的检测覆盖，将持续追踪其技术演进以强化防御体系。（149字）
2025-10-29 10:59:45
943
原创 观成科技：蔓灵花攻击事件分析
摘要：蔓灵花APT组织通过钓鱼邮件投递恶意压缩包，利用搜索连接器文件自动访问C&C服务器下载LNK文件，创建计划任务实现持久化控制，最终投放wmRAT木马实施攻击。攻击采用全程加密通信，主要针对政府、电力等关键部门。观成科技通过加密流量检测技术成功识别该攻击，将持续跟踪该组织活动并更新防御方案。（149字）
2025-10-23 16:07:42
622
原创 【观成科技】活跃黑产团伙“黑猫”攻击武器加密通信分析
黑猫黑产团伙通过仿冒热门软件官网并结合SEO优化传播恶意程序，利用ClashforWindows伪装样本释放远控木马。该木马（ZlibB）采用自定义TCP协议通信，数据经zlib压缩传输，具备信息窃取、键盘记录等275种控制指令。样本通过白加黑技术绕过防护，并设置自启动项实现持久化。观成瞰云系统可基于流量特征有效检测此类威胁。该团伙攻击手法与银狐相似，但增加了反调试等对抗技术，需持续关注其动态更新防护策略。
2025-09-23 15:48:03
1785
原创 【观成科技】蔓灵花User下载者加密通信分析
蔓灵花组织于2025年5月7日对巴基斯坦电信员工发起钓鱼攻击，投递携带恶意IQY附件的邮件。该文件通过Excel触发HTTP请求获取远程CMD指令，下载vcswin.exe后利用TLS1.3协议与C2通信，完成系统信息收集、持久化组件gentwin.exe部署及心跳维持。虽然采用TLS1.3加密，但其通信模式暴露了特征载荷长度，最终被加密威胁检测系统识别。攻击链涉及多个域名（tradesmarkets.greenadelhouse.com、fogomyart.com）和特定HASH样本。
2025-08-29 17:06:23
892
原创 观成科技：基于深度学习技术的webshell文件检测方案
本文提出一种基于深度学习的WebShell检测方案，通过2-gram词袋模型将PHP文件转化为3906维特征向量，结合多层感知机(MLP)进行分类。实验使用1.1万个训练样本（含1千个WebShell），测试集结果显示准确率达94.6%、召回率92%，优于传统检测方法（准确率90.3%、召回率83%）。该方案有效克服了静态检测漏报、动态检测范围窄等传统局限，利用文本处理优势显著提升检测性能。研究团队将持续优化模型以提高检测精度。
2025-07-22 10:53:43
465
原创 观成科技：基于自监督学习技术的恶意加密流量检测方案
针对传统机器学习算法检测恶意加密流量能力有限的问题，引入视觉领域的MoCo模型，采用对比学习的思路进行流量自监督学习方法，收集大量的无标记数据进行训练，而后仅采用少量恶意流量进行模型微调达到检测效果。
2025-07-10 11:50:05
1032
原创 观成科技：银狐新木马加密通信分析
摘要："银狐"木马近期升级通信加密方式，采用AES-256-GCM算法增强隐蔽性。该木马攻击分两阶段：下载阶段维持原有TCP协议和异或加密；远控阶段升级为带认证标签的高级加密模式，有效保障通信机密性和完整性。研究显示黑产团伙持续优化流量隐藏技术，增加了检测难度。观成安全通过多维度检测方案实现对新型加密威胁的有效识别。
2025-06-25 12:01:49
1039
原创 观成科技：隐蔽隧道工具Ligolo-ng加密流量分析
通过对Ligolo-ng工具的研究发现，虽然该工具能利用反向TCP/TLS连接，使用自动生成的证书建立一条隐蔽的加密通信信道，但是通过对其通信过程的分析发现，数据包具有心跳时间、心跳方向以及心跳包长度等特征，可以通过检测这些行为特征对该工具加密流量进行识别。工具使用了go语言的yamux库进行通信，客户端和服务端之间的通信为TLS长连接，由于yamux库有可以使用双向流的特性，所以在完成TLS握手以后通信的两端会各自维护一组心跳行为，以此达到高实时性与高性能的效果。
2025-06-10 16:32:23
1055
原创 【观成科技】Ymir勒索软件组织窃密木马RustyStealer加密通信分析
Ymir勒索软件利用RustyStealer窃密木马获取企业凭证，采用多阶段加密技术增强隐蔽性。该木马通过RC4算法加密系统信息，随机选择URI路径通信躲避检测。分析显示，勒索攻击前存在横向移动等前置行为，早期检测加密通信可有效拦截威胁。样本检测哈希为7c00152cc68f，C&C服务器为74.50.84.181:443。安全产品观成瞰云已实现对该威胁的有效识别。
2025-05-27 16:24:14
1251
原创 观成科技：加密C2框架Vshell流量分析
Vshell是一款专为红队设计的网络工具，支持多种协议如TCP、UDP、KCP、WebSocket等，具备文件管理、隧道代理等核心功能，适用于模拟网络攻击和测试防御系统。该工具通过加密通信和双向认证提高隐蔽性，服务端和客户端通过特定协议进行数据交换，如TCP协议中的系统信息传输和WebSocket协议中的动态参数配置。尽管Vshell的加密通信增加了检测难度，但通过特征匹配和行为规则分析，仍可有效识别其通信流量。随着加密通信工具的使用增加，安全研究团队持续更新检测技术以应对这些隐蔽的网络威胁。
2025-05-14 15:21:19
2586
原创 观成科技：摩诃草组织Spyder下载器流量特征分析
三、流量特征一、概述自2023年以来，摩诃草组织频繁使用Spyder下载器下载远控木马，例如Remcos。观成安全研究团队对近几年的Spyder样本进行了深入研究，发现不同版本的样本在数据加密、流量模式等方面存在差异。基于此，我们对多个版本样本的通信特征进行了对比分析，其中版本的界定主要是通过数据中的字段（如ver或about）来确定，早期样本未明确版本标识，而后期版本通过这些字段明确显示版本信息。具体特征总结如下：①各版本样本均使用HTTP协议，80端口进行通信，心跳包使用POST请求方式。
2025-04-24 17:30:04
1159
原创 观成科技：利用DoH加密信道的C2流量分析
木马上线后，如果没有指令下发，受害主机会一直向外发送DNS请求，域名前缀为长度为8的加密字符（每次上线时，长度会发生变化），查询类型为A查询，该查询数据中，不包含主机信息，C2接收到该心跳后，响应结果为0.0.0.0，如果有任务需要执行，会响应0.0.0.242或0.0.0.243，受害主机收到0.0.0.243响应后，会发送以api为前缀，查询类型为A的域名查询，C2服务器会返回以0.0.0开头的ip标识任务类型，之后会再发起一个以api为前缀，查询类型为txt的域名查询，来获取任务。
2025-04-08 14:24:46
1308
原创 观成科技：海莲花利用MST投递远控木马
海莲花”，又名“OceanLotus”，该APT组织是长期针对中国境内，且攻击活动十分活跃的组织。近期发现该组织使用了MSI文件滥用的新手法，将远程控制木马植入MST文件来修改MSI文件安装时的执行流程，在安装期间运行恶意代码。本文将展示该恶意木马的加载执行流程，并分析其加密通信过程。此次攻击活动中，海莲花组织使用TLS协议作为通信协议。通信的载荷数据采用了XOR加密，加密使用了动态密钥，密钥随流量传输。
2025-03-25 14:59:23
1137
原创 观成科技：加密C2框架Platypus流量分析
在实际的渗透测试中，为了解决 Netcat/Socat 等工具在文件传输、多会话管理方面的不足,该工具在多会话管理的基础上增加了在渗透测试中能更好发挥作用的功能（如：交互式 Shell、文件操作、隧道等），并且使用 TLS/SSL 协议进行通信，它可以利用证书和密钥对通信进行加密，确保数据传输的隐蔽性。通过观察TCP模式的通信数据可以辅助分析TLS模式下的行为特征：TCP明文流量中交互式shell发送的命令是逐字节发送的，且每次发送单字节内容后，服务端会返回同样的内容，依次交替直到完成一个命令。
2025-03-13 14:45:06
875
原创 观成科技：海莲花“PerfSpyRAT”木马加密通信分析
该样本通过TLS协议与C&C服务器进行通信，通信数据采用LZMA与AES加密。木马的载荷数据采用LZMA压缩和AES加密，且加密采用动态AES密钥，密钥随流量传输。TLS通信流量解密后为HTTP协议，通信载荷仍然是加密内容，加密使用了LZMA压缩+AES_CBC_256加密，AES加密密钥每次随着流量传输，IV为16个0，HTTP载荷包含“加密数据+AES密钥+随机数据+AES密钥偏移数据”，AES密钥偏移与最后一字节值相关，具体计算公式为：偏移=载荷总长度-0x28-1-载荷最后一字节的值。
2025-02-25 15:21:27
1009
原创 观成科技：伪猎者（APT-C-60）APT组织加密通信分析
尽管这些攻击组织在免杀能力上相对较弱[2]，但通过精密的阶段性攻击和有效的伪装策略，它们依然能够成功渗透并控制目标网络，获取最终的敏感信息或数据。观成科技安全研究团队将继续追踪和分析东北亚方向APT组织使用的开源和自研木马，并不断优化检测方法，以适应东北亚方向APT组织变化的加密通信方式，进一步守护加密网络空间的安全。这些攻击中使用了多种攻击武器，包括开源工具和自研恶意软件。该组织在实施攻击时，常使用LNK下载者进行恶意载荷的分发，且载荷的解密机制在过去两年内保持一致，展现出其高效且稳定的攻击模式。
2024-12-31 15:21:38
1515
原创 观成科技：寄生虫（APT-C-68）APT组织加密通信分析
2024年，该组织利用MSF木马攻击了我国某高校。Metasploit(MSF)是一个开源的渗透测试框架，包含多个核心组件，如Exploit（攻击模块）、Payload（载荷模块）、Auxiliary（辅助模块）和Encoder（编码器），这些组件分别负责漏洞利用、执行攻击代码、信息收集和混淆攻击代码以规避检测。寄生虫魔改版MSF木马在与C&C服务器通信时，采用了TLS协议进行数据传输，并使用XOR算法对通信数据进行加密，其中密钥为数据的前4个字节，下图中密钥为“2b ac ca e3”。
2024-12-02 15:38:16
1805
原创 观成科技：Vagent注入的内存马加密通信特征分析
vagent是一个使用Java语言开发的内存马注入工具。攻击者在利用vagent注入内存马之后可以利用别的代理工具或是webshell工具连接内存马进行通信。vagent对部分工具的内存马做了一些简单的魔改以达到绕过部分检测设备的目的。通过对vagent内存马注入工具代码及原始流量分析，可以看到越来越多的黑客工具开始使用自定义加密方式对攻击载荷进行加密；
2024-11-12 14:47:10
1876
原创 【观成科技】APT组织常用开源和商业工具加密流量特征分析
在分析 APT 组织使用的开源和商业工具的加密通信特征后，我们能够更好的掌握这些工具的行为模式和通信特征，从而为APT攻击的检测提供新的线索。随着网络攻击手段的不断演变，我们的检测和防御措施也必须持续改进，在此过程中，对加密通信流量的分析将成为防御策略的核心，帮助我们应对不断变化的APT威胁。接下来，观成科技安全研究团队将继续追踪和分析APT组织使用的开源和商业工具，以保持对最新威胁的警觉，并不断优化检测方法，以适应变化的攻击手段，进一步守护加密网络空间的安全。编码的数据，每次发送的心跳内容保持不变。
2024-11-01 12:01:30
1893
原创 观成科技：新版suo5隧道工具加密流量跟踪分析
suo5是一个高性能的http隧道代理工具，支持全双工半双工模式，具有很高的传输性能，现在越来越多的webshell管理工具与内存马生成工具都支持了生成suo5木马的功能。从v1.1.0版本开始，其TLS协议传输功能中，增加了新的变化，每次握手使用随机的加密套件和扩展列表项，使得客户端指纹和特征不固定，增大了其TLS加密流量的检测难度。
2024-09-19 17:20:54
2365
原创 观成科技：海莲花活跃木马KSRAT加密通信分析
为了隐藏通信特征，KSRAT在心跳包中填充了随机生成的数据，使得载荷长度随机变化，但其并未更改XOR密钥和数据结构，导致心跳包请求体中的特征仍然显著，可直接通过特征值进行检测。样本执行后，使用HTTP协议与服务器进行通信，每隔30秒左右向服务器发送心跳包，心跳包构造为“8字节通信标识符+13字节固定数据+8字节随机数据长度+随机数据+9字节固定数据”。XOR算法加密的指令包由“8字节通信标识符+8字节固定数据+4字节控制指令+1字节数据+8字节随机数据长度+随机数据+9字节固定数据”组成。
2024-08-07 18:08:13
1258
原创 观成科技：活跃窃密木马TriStealer加密通信分析
从2024年4月起，它采用了ZIP和RC4结合的方式对数据进行加密，这一加密方案在7月份进行了升级，引入了Base64编码作为额外的步骤，形成了ZIP+Base64+RC4的复合加密流程。TriStealer的RC4加密密钥设计独特，由固定的6字节样本硬编码字符串和随机生成的字符串组成，为加密通信提供了安全性和混淆性。4月份的TriStealer使用“ZIP+RC4”对数据进行加密，7月份，TriStealer对加密方式进行了升级，开始采用“ZIP+Base64+RC4”的方式进行加密。
2024-07-24 09:14:44
894
原创 【观成科技】Websocket协议代理隧道加密流量分析与检测
Websocket中的掩码加密使用异或（xor）做简单的加密，当MASK字段对应位被设置为 1 时表示加密，那么后续会设置4字节的Masking-key，Mask位设置为 0 时表示不加密，则不会携带Masking-key。观成科技的安全团队通过研究Websocket协议本身结构特点，并与对应的工具流量相结合，从而提出行之有效的检测方法应用于产品当中，能在Websocket流量中准确发现异常，找出相关隧道的搭建和使用痕迹，保障客户网络的安全。Websocket协议代理工具加密流量检测。
2024-07-10 17:20:01
1793
原创 观成科技：证券行业加密业务安全风险监测与防御技术研究
随着密码“⼀法三规⼀条例”（《密码法》、《国务院办公厅关于印发国家政务信息化项⽬建设管理办法的通知》、《贯彻落实⽹络安全等级保护制度和关键信息基础设施安全保护制度的指导意⻅》、《关键信息基础设施安全保护条例（征求意⻅稿）》、《商⽤密码管理条例》）以及国标GB/T39786-2021《信息安全技术信息系统密码应⽤基本要求》的出台，促进了密码产业及技术的发展，商⽤密码技术不断推陈出新，其普及、推⼴与应⽤也随之增⻓。为了应对这些挑战，有必要对资产和流量中不同类型的加密业务进行梳理，了解其各自的特点与应用场景。
2024-06-27 15:54:36
1681
原创 观成科技：某修改版哥斯拉Webshell流量分析
这意味着，无论是通过增加请求参数数量来混淆请求，还是通过将响应体内容从HTML格式修改为JSON或JS等其他格式，都可以通过已知的加密特征对其进行识别和分析。利用哥斯拉Webshell工具进行的通信，攻击者可以对通信方式进行修改、混淆从而规避传统明文流量设备的检测，但是基于人工智能、流行为特征检测的加密威胁智能检测系统能够检测此类加密通信行为。哥斯拉Webshell还可以通过各种魔改，绕过流量检测设备，近期，观成安全研究团队获取了哥斯拉的某个修改版本，并对其进行了分析和研究。图3：响应体对比图，修改版右。
2024-06-26 15:22:09
1279
原创 观成科技：基于深度学习技术的APT加密流量检测与分类检测方案
由于加密流量的实际载荷已被加密，故采用原始的流量检测方法，如深度包检测等方法，对于加密流量而言基本无效。常用的池化方式有最大池化和平均池化两种。针对传统的检测方式无法检测APT中的加密流量的问题，利用深度学习框架，提取加密流量本身的高级特征，分别完成对于APT加密流量的识别以及APT组织分类的任务，目前来看取得了不错的效果。这里采用无监督学习仅对掌握的APT加密流量进行训练，学习到APT加密流量的特有模式，然后用于流量检测，能够有效的利用现有APT流量，识别现网中的APT流量，同时规避白流量的选择问题。
2024-06-11 15:09:29
1758
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人