33、基于Transformer的PowerShell脚本反混淆技术

基于Transformer的PowerShell脚本反混淆技术

1. 背景与问题提出

在安全漏洞事件中，安全专家团队需要对受影响机器上发生的情况进行调查。其中，对混淆脚本进行反混淆是一项关键任务。攻击者常使用各种混淆器对脚本进行处理，生成的代码具有高度随机性，这使得手动编写反混淆算法变得极为困难，因为防御团队往往缺乏关于混淆器及其执行配置的详细信息。

2. 相关工作

• PSDEM方法 ：由Liu等人在2018年提出，用于处理恶意Microsoft Word文档中的PowerShell代码。该方法通过一系列堆叠算法，依次提取Base64编码命令、解码（若使用ASCII编码）、拼接拆分字符串、移除无关字符以及反转数据操作等。但该方法复杂且难以维护，若混淆工具引入新的编码方式，需手动调整算法。
• PowerDrive ：Ugarte等人开发的多阶段反混淆器。通过正则表达式清理混淆脚本、移除反调试检查、覆盖部分内置PowerShell方法，并执行可疑脚本来获取所联系的URL信息。
• 基于AST的方法 ：Li等人提出，先使用子树识别可恢复的混淆脚本片段，再在仿真阶段进行反混淆。通过选择脚本片段的熵、令牌长度、AST类型分布或AST深度等特征，将特征向量传递给分类器进行混淆检测。成功检测后，在沙箱化的PowerShell会话中运行可疑脚本进行恢复。然而，该方法存在安全风险且处理速度慢，同时不能简化所有表达式。

这些相关方法与本文提出的解决方案差异较大，且缺乏通用的评估方案，难以进行公平的