攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量

攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量

知名Webshell管理工具“冰蝎”（ Behinder）发布了4.0版更新，增加了诸多特性，如取消硬编码通信协议，传输协议完全自定义等。观成科技安全研究团队立刻针对新版冰蝎加密流量展开了研究。

冰蝎4.0加密流量特征与3.0版相差比较大。首先是加密方式，客户端自带xor、xor_base64、aes、json和image等五种加密方式，每种加密方式都支持自定义加解密代码；其次是传输方式，冰蝎4.0引入了okhttp3客户端，因此HTTP协议交互、TLS协议交互与3.0的客户端也有显著不同。

基于上述分析，我们针对冰蝎4.0在TLS未解密（TLS协议流量）、TLS解密（HTTP协议流量）两种场景下的流量进行抓取分析，并迅速升级检测方案。目前，观成瞰云经升级后，已实现针对冰蝎4.0各种加密流量的检出。具体检出情况如下：

1. TLS未解密冰蝎4.0加密流量检测：

1. TLS解密冰蝎4.0加密流量检测：

观成瞰云（ENS）

观成瞰云-加密威胁智能检测系统（ENS）是观成科技将人工智能与安全检测技术相结合的创新型安全产品，可针对恶意软件、黑客工具、非法应用等加密威胁进行有效检测。该产品为观成科技自主研发、具有完整的知识产权，解决了恶意加密流量检测难题，填补了市场和技术空白。