T1027.002: 软件加壳

摘要

攻击者可能执行软件加壳或虚拟机软件保护来隐藏其代码。软件加壳是一种压缩或加密可执行文件的方法。对可执行文件加壳会改变文件签名，以试图避开基于签名的检测。大多数解压缩技术会在内存中解压缩可执行代码。虚拟机软件保护将可执行文件的原始代码转换为只有特定虚拟机才能运行的特殊格式。随后调用虚拟机来运行此代码。(Citation: ESET FinFisher Jan 2018) 用于执行软件加壳的实用程序称为加壳器。示例加壳器有 MPRESS 和 UPX。已知加壳器有更全面的列表，但攻击者可能创建自己的加壳技术，使其不留下与知名加壳器相同的痕迹，从而规避防御。(Citation: Awesome Executable Packing)