这是[信安成长计划]的第 9 篇文章
关注微信公众号[信安成长计划]
0x00 目录
0x01 CS4.5 Sleep_Mask
0x02 HeapEncrypt
0x03 效果
0x04 参考文章
在之前的文章《Bypass BeaconEye》中提过了两个 Bypass BeaconEye 的方法，都是通过打乱 C2Profile 结构来做的，还有另外一种方式就是在 Sleep 的时候加密堆内存，在 CS4.5 中也对 Sleep_Mask 进行了更新
0x01 CS4.5 Sleep_Mask
根据 官网**[1] **的解释可以猜出一二
增加了 HEAP_PECORDS 结构体，根据名字猜测是用来记录堆内存的，所以大概率是记录了某一部分带特征的堆内存地址，然后在 Sleep 的时候将其进行混淆，用来躲过 BeaconEye 的检测，当然也有可能是将所有申请的堆内存都混淆
0x02 HeapEncrypt
按照对 Sleep 的分析《