从Elastic观察新兴威胁与对抗之调用堆栈检测

Cobalt Strike声称在其新版本中通过加密所有内存空间（包括Sleep Mask）来改善休眠期间的内存保护。Elastic发布了8.8版本，增加了基于内核调用栈的检测能力。Elastic使用基于ETW的栈跟踪来监控调用栈以进行威胁检测。常见的对抗技术包括调用栈截断和调用栈欺骗。对手通过使用替代API绕过调用链检测。终端对手正在向更低层次发展，需要可靠的监控信息。