網路安全中的混淆：技術解析

什麼是網路安全中的混淆？

當你調查凌晨 3 點的警報時，你面對的就是混淆：防禦規避技術，這些技術會擊敗你的傳統安全控制。承載內容經過封裝、具多型性，且僅在記憶體中執行，無法被基於磁碟的識別方式發現。中國 APT 行為者在 2025 年期間使用加密的 SSH 通道入侵網路裝置，而親俄羅斯的駭客行動主義團體則在已記錄的攻擊活動中濫用合法的 VNC 連線。

根據 NIST，經混淆的資料是「透過密碼學或其他方式加以扭曲以隱藏資訊」。MITRE ATT&CK 框架將混淆歸類於 Defense Evasion Tactic TA0005：對手在整個攻擊生命週期中，專門用來規避識別並繞過安全控制的技術。

威脅行為者透過 多型惡意軟體 使用可變的加密金鑰來混淆初始入侵，使每個實例對基於特徵碼的掃描器而言看起來都不同。他們藉由濫用 PowerShell 和 WMI 等合法工具來隱藏橫向移動。政府公告將這些記錄為「就地取材」方法，可規避特徵碼識別。他們透過 無檔案惡意軟體 維持持久性，這類惡意軟體透過反射式程式碼載入與程序注入，僅在記憶體中執行。你的基於磁碟的掃描器無法找到惡意程式碼，因為它從未出現在磁碟上的檔案中。

在檢視具體技術之前，先釐清一個常見的混淆點會有所幫助。

混淆 vs. 加密

混淆與 加密 都會隱藏資訊，但它們服務於不同目的，並提供不同的安全保證。加密使用需要特定金鑰才能還原的密碼演算法來轉換資料。沒有金鑰時，從數學上幾乎不可能還原加密資料。混淆則會轉換程式碼或資料，使其難以理解，同時在不需要任何金鑰的情況下仍可在功能上執行。

若沒有 解密key。您的混淆程式碼仍可正常執行，因為這種轉換保留了功能。攻擊者使用加密來隱藏酬載，使其在執行階段解密發生之前避開靜態分析。他們使用混淆來讓逆向工程即使在程式碼執行後仍然耗時。多型惡意軟體結合兩者：以可變金鑰加密酬載，同時混淆解密常式本身。理解這項區別有助於您辨識，為何您環境中的混淆程式碼不會自動被視為惡意，以及為何在執行階段解密的加密酬載需要立即進行行為審查。

這引出一個重要問題：如果混淆可用於合法目的，你要如何區分敵我？

混淆的合法用途

混淆本身不一定是惡意的。軟體供應商每天都使用它來保護智慧財產、強制執行授權並防止竄改。在你的瀏覽器中執行的 JavaScript 通常會經過最小化與混淆。行動應用程式使用混淆來抵抗逆向工程。數位版權管理 系統依賴混淆來保護內容。遊戲中的反作弊軟體會混淆其偵測機制，以領先作弊程式開發者。

這種合法使用情境對您的防禦策略至關重要。您不能只是單純封鎖或標記所有混淆程式碼，因為您的組織幾乎可以確定仰賴經過合法混淆的軟體。商業應用程式、安全工具，甚至作業系統的部分元件都會使用混淆技術。您的偵測方法必須區分已知軟體中的合法混淆，以及非預期情境中的可疑混淆。行為分析因此變得不可或缺，因為它評估的是程式碼實際執行的內容，而非其外觀，讓合法的混淆軟體得以正常運作，同時無論程式碼如何轉換，都能識別惡意行為。

為何混淆在現代網路威脅中很重要

混淆已成為現代攻擊活動的核心，因為它會直接削弱大多數組織已投入的安全投資。基於特徵碼的偵測 工具數十年來主導企業安全，而攻擊者則透過確保其惡意軟體永遠不會呈現可供比對的一致特徵碼來加以因應。

這種轉變之所以重要，有三個原因。第一，混淆會延長攻擊者的駐留時間。當你的安全工具無法識別惡意程式碼時，威脅行為者便能在數週或數月內不被發現地活動。第二，混淆可讓攻擊擴大規模。多型引擎會自動產生獨特的惡意軟體實例，使攻擊者能以可規避共享威脅情報的變種為目標，攻擊數千個組織。第三，混淆會削弱你的鑑識能力。當惡意軟體僅在記憶體中執行，或在每次感染之間重寫自身時，你的事件回應團隊將難以識別入侵指標，或將攻擊歸因於特定威脅行為者。

近期攻擊活動展現了這種作業現實。中國 APT 團體在 2025 年期間透過看似合法管理流量的加密通道進行通道傳輸，持續維持對網路基礎設施的存取。親俄羅斯的駭客行動主義者則濫用合法的遠端存取工具，以避免觸發安全警報。在這兩種情況下，混淆都不是可有可無的強化措施，而是促成成功行動的核心能力。

了解混淆為何重要，有助於你排定防禦優先順序。下一步是辨識你將會遇到的具體技術。

常見的混淆技術類型

攻擊者會採用數種不同的混淆方法，每一種都是為了擊敗特定的防禦能力而設計。

1. 基於程式碼的混淆 會轉換惡意軟體原始碼以防止模式比對。技術包括將變數與函式重新命名為無意義字串、插入永遠不會執行的死碼，以及重構控制流程以模糊程式邏輯。這些轉換可擊敗依賴辨識程式碼模式的靜態分析工具。
2. 封裝與壓縮 會將 惡意軟體 包裹在分析前必須移除的保護層中。封裝器會壓縮並加密惡意承載內容，只向安全掃描器呈現一個小型的解封裝 stub。在惡意軟體執行並於記憶體中自行解封裝之前，分析人員無法檢視實際的惡意程式碼。
3. 多型技術 透過可變加密產生獨特的惡意軟體實例。每個副本都使用不同的金鑰加密其承載內容，同時維持相對穩定的解密常式。你的特徵碼掃描器在每個實例中看到的都是不同的加密資料塊，因此無法進行基於模式的偵測。
4. 變形技術 更進一步，會在每一代重寫惡意軟體的實際程式碼結構。不同於只變更加密承載內容的多型惡意軟體，變形程式碼會轉換自身指令，同時保留完全相同的功能。沒有兩個實例會共享共同的程式碼特徵碼。
5. 無檔案技術 完全避開檔案系統，僅在記憶體中執行。這些攻擊會濫用合法系統工具、將程式碼注入執行中的程序，或使用反射式載入來執行從未接觸磁碟的承載內容。你的檔案型掃描器檢查的是一個不存在惡意檔案的攻擊面。
6. 環境感知 讓惡意軟體能夠偵測分析環境並據此改變行為。惡意軟體會檢查虛擬機器痕跡、沙箱指標或除錯工具，然後在偵測到分析時執行無害的程式碼路徑。

這些技術類別經常會在複雜攻擊中結合使用。了解每種類型有助於你辨識所面臨的具體偵測挑戰。

混淆的核心組成

五種技術方法主導現代混淆：程式碼轉換、封裝、加密層、多型引擎，以及變形重寫。

程式碼混淆與封裝 在維持惡意程式碼功能的同時，使分析變得困難。具體方法包括：

• 插入無效程式碼以加入非功能性操作
• 重新指派暫存器以變更哪些 CPU 暫存器儲存數值
• 重新排序子常式以調整函式呼叫順序
• 指令替換，以功能等效的替代方案取代操作
• 程式碼換位，在使用跳躍維持執行流程的同時重新排序程式碼區塊

封裝會壓縮並加密惡意軟體。靜態分析只能揭露解封裝常式，而非在執行階段解密的惡意程式碼。

加密 可完全阻止靜態分析。分析人員若未確定解密金鑰與演算法，便無法檢視惡意程式碼。多型惡意軟體會以可變的加密金鑰加密其主體，同時讓解密常式維持相對穩定。由於加密金鑰不同，每個執行個體對您的特徵碼掃描器而言看起來都不同，但所有執行個體在解密後都會執行相同的惡意行為。

變形程式碼 使用混淆技術，在每一代中完全重寫自身，同時維持完全相同的功能。根據對變形惡意軟體的研究，變形程式碼會從根本上重構其實際指令，而不依賴加密或解密常式。這是它與多型變體之間的關鍵區別。即使惡意操作相同，變形引擎產生的執行個體也不具有共同的程式碼特徵。

反分析技術 會透過以下文件記載的方法尋找並規避除錯環境： MITRE ATT&CK T1622。惡意軟體會查詢 Process Environment Block 的 BeingDebugged 旗標，或測量指令之間的執行時間。除錯器逐步執行會引入可測量的延遲，進而觸發替代程式碼路徑。Thread Local Storage 回呼會在您的除錯器到達進入點之前執行，使反除錯檢查在您設定中斷點之前就已運作。

這些組成元件並非各自獨立運作。現代攻擊會以加乘您偵測挑戰的方式，將多種技術串連使用。

混淆如何運作

多型轉換會使用子常式排列、暫存器重新指派、插入無效程式碼，以及指令替換。這些技術會重新排序程式碼、變更 CPU 暫存器、注入非功能性序列，並以功能等效的替代方案取代指令。

反除錯機制會計算程式碼區段的執行階段總和檢查碼。軟體中斷點會插入 INT3 指令以修改實際位元組，導致總和檢查碼失敗並觸發反除錯回應。硬體中斷點識別則會查詢除錯暫存器，以確認是否存在作用中的除錯。

根據 MITRE ATT&CK T1055，程序注入會在獨立且仍在執行中的程序位址空間內執行任意程式碼。惡意軟體會識別像 svchost.exe 這樣的系統程序，將惡意程式碼注入該程序的記憶體空間，並在受信任的程序內容中執行。

現代惡意軟體會同時結合多種混淆技術。根據 MITRE ATT&CK T1027，封裝會阻止特徵碼掃描器在未執行的情況下檢查惡意程式碼。執行階段解密意味著磁碟上的程式碼與記憶體中執行的程式碼不同。反射式程式碼載入，記載於 MITRE ATT&CK T1620，可讓對手將程式碼直接載入記憶體，完全規避以檔案為基礎的掃描。

這些技術機制帶來具體優勢，進而延長攻擊者的作業時間窗口。

攻擊者為何使用混淆

混淆為攻擊者提供可擊敗您傳統安全控制措施的優勢。

• 規避特徵碼 會透過在每個執行個體中改變惡意軟體外觀來擊敗模式比對。根據 MITRE ATT&CK Framework，經封裝的惡意軟體在靜態分析中只會呈現解封裝常式，而非在記憶體中執行的實際惡意酬載。
• 延長駐留時間 來自身分識別規避技術。在已記錄的 APT 攻擊活動中，威脅行為者使用過濾機制來區分安全研究人員與預定受害者。
• 規避沙箱 使用環境識別來找出分析系統。惡意軟體會辨識虛擬機器構件，包括 VM 專用驅動程式、登錄機碼與硬體識別碼，以及沙箱專用組態。延長的休眠期間會將執行延後數小時或數天，超出典型的沙箱分析時間窗口。
• 鑑識分析 阻礙會讓您的 事件回應 變得顯著更加困難。變形惡意軟體在各代之間完全重寫程式碼，意味著您無法在樣本之間識別共同特徵。僅在記憶體中執行（記載於 MITRE ATT&CK T1620）幾乎不會留下鑑識痕跡，因為惡意程式碼從未寫入磁碟，而您的鑑識工具通常預期會在磁碟上找到證據。
• 利用工具擴散 會利用您的安全複雜性來對付您。根據 CISA's SILENTSHIELD red team assessment，使基於混淆的攻擊得以成功的最關鍵失敗是記錄不足：缺乏完整日誌蒐集的組織，無法跨安全工具關聯發現結果。

儘管攻擊者具備這些優勢，您的防禦並非束手無策。了解傳統方法為何失敗，便能揭示有效偵測的途徑。

網路安全中的混淆偵測挑戰

傳統安全方法因數個原因而難以對抗混淆。

1. 基於特徵碼的識別會失效。 您的基於特徵碼識別依賴已知模式，而混淆技術會刻意改變這些模式。根據 MITRE ATT&CK T1497，惡意軟體會識別虛擬機器構件，包括 VM 專用驅動程式、登錄機碼、硬體識別碼及處理程序名稱。研究文件指出，惡意軟體會辨識沙箱專用組態，然後在識別出這些特徵時執行無害的程式碼路徑。
2. 無檔案惡意軟體會規避您的磁碟式掃描。 您必須部署執行階段記憶體檢查，以檢視處理程序記憶體空間中的注入程式碼、shellcode 與惡意酬載。您的行為分析必須透過網路模式、API 序列及處理程序行為，找出僅在揮發性記憶體中執行的威脅。
3. 行為基準需要完整記錄。根據 CISA 的 SILENTSHIELD 紅隊評估，不足的 記錄基礎架構會使您無法建立行為基準，或找出顯示混淆攻擊的偏差。
4. 基於 AI 的識別面臨對抗性攻擊。 根據 NIST，攻擊者會透過系統性探測、訓練資料投毒及對抗性範例來規避基於 AI 的識別。您必須實作對抗性穩健性測試，並認知到您的 AI 系統會成為需要保護的目標。

除了這些技術挑戰之外，您的營運失誤也使問題更加嚴重。

網路安全中常見的混淆防禦錯誤

當您有以下行為時，會犯下讓基於混淆的攻擊得逞的重大錯誤：

• 部署不足的記錄基礎架構，導致連有充分文件記載的防禦規避技術都無法發現
• 過度依賴基於特徵碼的識別，儘管研究顯示行為式方法優於特徵碼方法
• 讓預設認證弱點持續存在於網路裝置、VPN 存取點及管理員帳戶中
• 未能建立行為基準，使得當混淆惡意軟體濫用合法工具時，無法進行異常識別
• 實施網路分段失敗，使得一旦透過混淆酬載成功取得初始存取後，即可進行橫向移動
• 將沙箱分析設定為不足的持續時間（低於 5 分鐘），使惡意軟體能透過將執行延遲至分析視窗之外來進行基於時間的規避

識別這些錯誤是第一步。下一步是實作專門設計用來對抗混淆技術的防禦措施。

防禦混淆

您對混淆的防禦需要從基於特徵碼的方法轉向以行為為先的方法。

• 優先建置完整的記錄基礎架構。您無法發現看不見的事物。部署網路系統日誌、命令列引數擷取、父子處理程序關係追蹤，以及整個環境中的 橫向移動指標。
• 建立行為基準。 記錄正常流量模式、網路效能、主機應用程式活動及使用者行為。透過偏離這些基準的情況來發現威脅，而不是比對已知特徵碼。
• 實作記憶體鑑識能力。您的磁碟式掃描器會漏掉無檔案威脅。部署可檢視處理程序記憶體空間的工具，以找出僅在揮發性記憶體中執行的注入程式碼、shellcode 與惡意酬載。
• 延長沙箱分析持續時間。將您的沙箱環境設定為執行 30 分鐘或更久，並搭配逼真的環境模擬。低於 5 分鐘的短分析視窗，會讓 MITRE ATT&CK T1497中記載的基於時間規避得以實現。
• 消除預設憑證。 移除網路裝置、VPN 存取點、Web 應用程式和資料庫中的所有預設憑證。這些憑證可提供初始存取，而混淆則有助於維持該存取。

這些基礎實務可因應當前威脅，但混淆技術並非一成不變。攻擊者會持續精進其方法，以領先防禦措施的改進。

混淆的未來趨勢

隨著對手適應更完善的防禦，混淆技術持續演進。了解新興趨勢有助於您為未來幾年將面對的威脅做好準備。

• AI 驅動的混淆 代表規避技術的下一次演進。攻擊者開始使用機器學習產生多型程式碼變體，專門鎖定 AI 型偵測系統中的弱點。根據 NIST 對對抗性 machine learning 的分析，這些技術包括探測安全模型以識別偵測盲點，接著產生惡意軟體變體來利用這些缺口。您的防禦必須從靜態 AI 模型演進為持續學習系統，以便隨著攻擊模式變化而調適。
• Living-off-the-Land 的演進 已超越 PowerShell 和 WMI 等傳統工具。 Threat actors 越來越常濫用雲端原生服務、容器協調工具，以及貴組織在正常營運中所依賴的合法管理框架。要區分惡意與合法使用，需要具備深度行為脈絡，而這是特徵碼方法無法提供的。
• 雲端環境中的無檔案技術 隨著工作負載從傳統端點遷移，帶來獨特挑戰。無伺服器函數、短暫性容器和受管服務會建立傳統記憶體鑑識方法無法適用的執行環境。您的偵測能力必須超越以端點為中心的方法，以涵蓋這些新興攻擊面。
• 基於加密的混淆 將隨著運算能力提升而持續進步。雖然目前的多型技術依賴相對簡單的加密方式，但未來變體可能採用更複雜的密碼學方法，分析時需要大量運算資源。這使得行為式偵測更加重要，因為它能無視承載內容加密強度來識別惡意活動。

這些趨勢再次強化一項基本現實：基於特徵碼的偵測只會隨時間推移而愈來愈無效。組織需要從底層即圍繞行為分析與跨環境關聯而建構的平台。

使用 SentinelOne 阻止混淆威脅

當多型惡意軟體在每個執行個體中都改變其特徵碼，而無檔案攻擊僅在記憶體中執行時，您的特徵碼型工具無法比對不存在的模式。防禦混淆需要行為式偵測，透過威脅的行為而非外觀來發現它們。

SentinelOne 的 Storyline 技術 透過將程序建立、記憶體配置和網路連線串聯成具因果關係的攻擊敘事，追蹤行為鏈。當 APT 組織使用封裝或程式碼轉換時，Storyline 會在毫秒內重建攻擊序列，而不受混淆影響。在 MITRE ATT&CK 評估 中，這種行為式方法在達成 100% 偵測且零延遲的同時，產生的警示數比所有參與供應商的中位數少 88%。

Singularity Cloud Security 會關聯您整個環境中的混淆活動，而這項能力正是 CISA 的 SILENTSHIELD 評估中，在未能發現規避技術的組織裡所指出缺失的部分。 Singularity Endpoint 記憶體檢查會掃描程序記憶體，以找出從未接觸磁碟的注入式 shellcode 與反射式載入惡意軟體。 Purple AI 會在面對沒有共同特徵碼的變形惡意軟體時，自主關聯行為模式並建議調查路徑，以加速調查。 Singularity Identity 會在攻擊者使用遭竊憑證建立初始存取、再部署混淆承載內容時，找出異常的驗證模式。

該平台的自主回應可在數秒內執行遏制，這在攻擊者使用延時執行或攻擊在您的環境中快速橫向移動時至關重要。

向 SentinelOne 申請示範，了解 Singularity 平台如何在您的端點、雲端與身分環境中阻止混淆威脅。

重點整理

混淆對傳統安全方法構成根本性的挑戰。多型性惡意軟體、變形程式碼，以及無檔案攻擊，藉由確保沒有兩個實例看起來相同，且沒有任何惡意檔案會接觸磁碟，從而擊敗以特徵碼為基礎的工具。Chinese APT groups 和親俄羅斯的 hacktivists 在整個 2025 年期間都利用了這些技術，使用加密通道與合法工具來規避識別。您的防禦必須從模式比對轉向行為分析，透過威脅的行為而非其外觀來發現威脅。

有效防護需要三項能力協同運作： behavioral AI可追蹤程序執行而不受程式碼轉換影響的機制、檢視實際執行內容而非磁碟上儲存內容的記憶體鑑識，以及可串聯端點、雲端與身分邊界活動的跨環境關聯分析。成功防禦混淆威脅的組織具備一項共同的營運現實：完整的記錄基礎架構、已建立的行為基準，以及可在數秒內執行遏制措施的自主回應。若缺乏這些基礎能力，混淆便會讓攻擊者取得其達成目標所需的時間優勢。