2026-10-23 08:03:38 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image

360Killer V4 正式发布：全维度免杀重构，通杀 360 全家桶

原创

星夜AI安全
星夜AI安全

星夜AI安全

2026年8月6日 10:21
吉林

在小说阅读器读本章

去阅读

360Killer V4 正式发布：全维度免杀重构，通杀 360 全家桶

从字符串混淆到 PE 结构伪装，从高熵特征到合法代码注入，V4 一次性解决所有 QVM 检测点。

一、V3.1 回顾：两个致命问题

V3.1 版本完成了基础的 XOR 字符串混淆和间接 syscall，功能上已经可以完整 kill 360。但在免杀层面存在两个关键短板：

1.1 静态查杀

360 云查杀引擎对裸 XOR 加密的二进制数据段高度敏感。V3.1 将所有敏感字符串 XOR 后以 unsigned char[] 形式存储，在 .rdata 段呈现近随机分布：

1.2 QVM 机器学习

QVM 202.0.2E1C 版本对以下几个维度做了针对性检测：

检测维度	V3.1 特征	QVM 判定
熵值	~8 bits/byte（近随机）	Malware.gen
PE 资源	无图标、无版本信息、无 manifest	可疑
IAT 导入表	零正常 API 导入	可疑
代码逻辑	纯 kill chain，无正常业务	Malware.gen

二、V4 核心升级

2.1 HEX 低熵编码

问题：XOR 加密后的 unsigned char[] 数据熵值接近 8 bits/byte，与正常程序的字符串段（通常 4-6 bits/byte）明显不同，QVM 直接命中。

方案：将所有加密数据转为 hex 字符串存储。hex 只有 16 个字符（0-9, A-F），理论熵值仅 4 bits/char，与普通程序的日志/配置文件字符串段无异。

// V3.1: 高熵 raw bytes（会被 QVM 熵值检测命中）
static const unsigned char _encProcNames_data[] = {
    0x07, 0x15, 0x08, 0x19, 0x12, 0x13, 0x1A, 0x1B, ...
};

// V4: 低熵 hex string（看起来像普通配置数据）
static const EncBlob _encProcNames = {
    \"0715081912131A1B1C131A0408531805187C...\", 666
};

新的 EncBlob 结构体运行时解析 hex 并 XOR 还原：

struct EncBlob {
    const char* hex;
    size_t dataSize;
    void dec(char* out) const {
        const volatile char* h = hex;  // volatile 阻止 -O2 常量折叠
        for (size_t i = 0; i < dataSize; i++) {
            char c0 = h[i*2], c1 = h[i*2+1];
            unsigned char b = (unsigned char)(
                ((c0 >= 'A' ? c0 - 'A' + 10 : c0 - '0') << 4) |
                ((c1 >= 'A' ? c1 - 'A' + 10 : c1 - '0')));
            out[i] = (char)(b ^ 0x7D);
        }
        out[dataSize] = '\\0';
    }
};

效果：.rdata 段 hex 字符占比 13.4%，整体二进制熵值 6.11 bits/byte（正常范围）。

2.2 PE 资源伪装

问题：V3.1 编译产物无图标、无版本信息，Explorer 显示白色默认图标，右键属性一片空白，PE 结构特征明显异常。

方案：注入完整 PE 资源段，伪装为 Microsoft 系统组件。

资源	内容	目的
VERSIONINFO	Microsoft Corporation / Windows Service Host Process / 6.1.7601.17514	伪装系统组件
ICON	32×32 渐变蓝色应用图标	Explorer 显示正常
Manifest	requireAdministrator + Win10 兼容	正常 UAC 提权

1 VERSIONINFO
FILEVERSION     6,1,0,7601
PRODUCTVERSION  6,1,0,7601
BEGIN
    VALUE \"CompanyName\",      \"Microsoft Corporation\"
    VALUE \"FileDescription\",  \"Windows Service Host Process\"
    VALUE \"OriginalFilename\", \"svchost.exe\"
    VALUE \"ProductName\",      \"Microsoft Windows Operating System\"
END

效果：Explorer 中显示为合法系统组件，任务管理器进程名正常，右键属性信息完整。

2.3 合法代码注入

问题：V3.1 的整个代码逻辑是纯 kill chain——杀进程、删服务、卸驱动、清注册表。QVM 对此类单一目的的执行序列高度敏感。

方案：注入正常 Win32 应用逻辑，包括：

模块	代码量	功能	导入 API
配置管理	~60 行	读写 `HKCU\\Software\\Microsoft\\...\\SvcHost`	RegCreateKeyExW, RegQueryValueExW, RegSetValueExW
文件解析	~40 行	读取 .ini 配置文件，解析 key=value	CreateFileW, ReadFile
字符串工具	~20 行	TrimString, ParseConfigLine	strchr, memmove
窗口系统	~30 行	标准 Win32 消息处理	DefWindowProcW, BeginPaint, FillRect
时间管理	~15 行	GetLocalTime → SystemTimeToFileTime	标准系统调用

这些代码不仅提供合法的 IAT 导入表特征，还在执行流中插入了正常程序才有的逻辑分支，打乱了 ML 分类器的行为序列提取。

效果：IAT 导入表出现合法 API 签名，执行流不再是单一的恶意行为序列。

2.4 驱动加载修复：DOS 路径 vs NT 路径

问题：V3.1 使用 CreateFileW(\"\\\\.\\DefenderKiller\") 打开驱动设备，Win32 API 内部将 \\\\.\\ 翻译为 NT 命名空间的 \\??\\。V4 为了绕过 Hook 改用 NtCreateFile syscall，但保留 DOS 格式的 \\\\.\\ 前缀，导致 syscall 直接打开失败：

V3.1:  CreateFileW(\"\\\\.\\DefenderKiller\")   → Win32翻译 → \\??\\DefenderKiller  ✓
V4:    NtCreateFile(\"\\\\.\\DefenderKiller\")  → 不做翻译  → 路径无效            ✗

方案：将设备路径从 \\\\.\\DefenderKiller 改为 NT 命名空间格式 \\??\\DefenderKiller。NtCreateFile 直接打开成功。

# _gen_hex.py
- wide_strs = [(\"_dev_name\", \"\\\\\\\\.\\\\DefenderKiller\")]   # DOS 格式
+ wide_strs = [(\"_dev_name\", \"\\\\??\\\\DefenderKiller\")]    # NT 格式

2.5 更多 V4 对抗点

volatile 阻断常量折叠：GCC -O2 会编译期计算 XOR 结果把明文写入 .rdata。volatile 指针强制运行时解密。
间接 syscall：SysWhispers4 风格，通过 ntdll gadget 执行 syscall; ret，绕过用户态 API Hook。
零静态 IAT：60+ Win32 API 全部 GetProcAddress 动态解析。
PEB 模块遍历：DLL 基址通过 PEB InMemoryOrderModuleList 获取，不调用 LoadLibrary。
执行抖动：每个 kill step 之间随机 Sleep，打破行为序列时间特征。
69 个加密 blob：覆盖进程名、服务名、驱动名、安装目录、注册表路径、API 名称等全部敏感字符串。

三、免杀效果

3.1 360 静态查杀

3.2 QVM 机器学习

云传结果

3.3 对抗矩阵

┌──────────────────────────┬───────────────────────────────────────┐
│ 检测维度                   │ V4 对抗策略                            │
├──────────────────────────┼───────────────────────────────────────┤
│ QVM 机器学习              │ HEX 低熵编码 + 合法代码注入             │
│ 静态签名 (360 云查)       │ 69 blobs 全量 XOR 混淆                  │
│ IAT 导入表分析            │ 零静态 IAT + 注册表 IAT 伪装             │
│ 用户态 Hook              │ 间接 syscall (ntdll gadget)             │
│ PE 结构分析              │ 完整资源段 (图标 + 版本 + manifest)       │
│ 行为序列检测              │ 合法业务代码 + 执行抖动                  │
│ 沙箱逃逸                 │ PEB BeingDebugged + 时间检测            │
│ 熵值分析                  │ 6.11 bits/byte (正常范围)               │
│ 编译优化指纹              │ volatile 阻断常量传播                   │
│ 驱动设备路径              │ NT 命名空间 \\??\\ 替代 DOS \\\\.\\           │
└──────────────────────────┴───────────────────────────────────────┘

四、Kill 实战效果

测试环境：Windows 10 ×64，360安全卫士 + 360杀毒最新完整安装，自保护全开

操作：右键管理员运行 kill360V4.exe

结果：全部 360 进程终止，服务删除，驱动卸载，文件清理，注册表清理，浏览器劫持修复。

五、功能清单

[x] 进程终止：47 个 360 进程名，三轮循环灭活
[x] 服务停止 + 删除：11 个 service 模式匹配
[x] 驱动卸载：5 个驱动模式匹配
[x] 文件清理：22 个安装目录 + 4 个 AppData 子目录递归删除
[x] 注册表清理：11 棵注册表树 + 浏览器劫持 + AppInit + Winlogon
[x] WMI 持久化清除：__EventFilter + __FilterToConsumerBinding
[x] 计划任务清理：360/Qihoo 前缀匹配
[x] 启动文件夹清理：ProgramData + AppData Startup
[x] 浏览器劫持修复：360Chrome / 360SE
[x] 内核驱动加载：xx.sys 补刀
[x] 无驱动回退：syscall 直接 NtOpenProcess + NtTerminateProcess
[x] 管理员提权：非 admin 自动 UAC 拉起
[x] 执行间隔随机抖动：防行为序列检测

六、编译

# 1. 生成 hex blob（首次或修改字符串后）
python _gen_hex.py
python _apply_hex.py
python _fix_nul.py

# 2. 编译资源文件
windres resources.rc -o resources.res -O coff

# 3. 编译主程序
g++ -o kill360V4.exe kill360V4.cpp resources.res \\
    -static -std=c++17 \\
    -lole32 -luuid -ladvapi32 -lshell32 \\
    -mwindows -O2 -s

# 4. 换 XORKEY 重新构建（每次编译建议更换）
#    修改 kill360V4.cpp 第 21 行：
#    #define XORKEY 0x7D  →  0x3F, 0xA1, 0x5C 等任意值
#    重新执行步骤 1-3

环境要求：MinGW-w64 (g++ 8.1+) + windres + Python 3.x

七、版本历史

版本	主要特性	360 静态	QVM
V1	基础进程终止 + 服务停止	秒杀	—
V2	XOR 字符串混淆 + 动态 API	免杀	Malware.gen
V3	全量字符串加密 + 间接 syscall	免杀	Malware.gen
V3.1	驱动 kill + 注册表清理 + WMI	免杀	Malware.gen
V4	HEX 编码 + PE 资源 + 合法代码 + NT 路径	免杀 ✓	Bypass ✓