哎，别被“隐身术”骗了！聊聊ETW绕过那点事儿，顺便教你用威胁情报撕开它的画皮
哈喽，各位奋战在安全一线的兄弟们，还有那些刚入坑的“新兵蛋子”们，今儿咱们不聊那些枯燥的CVE报告，也不扯那些云里雾里的APT组织TTP（战术、技术、程序）框架，咱们就来点实在的，掏心窝子聊聊最近让我跟同事老张头发又掉了一大把的ETW绕过问题。
讲真，一开始听到“ETW”这个词，我脑子里全是“以太坊”？“电热毯”？别笑！真的，刚接触Windows安全时，谁能想到这玩意儿是Event Tracing for Windows（Windows事件跟踪）啊！咱们做威胁情报分析和EDR绕过的，谁不是抱着微软这棵大树好乘凉，指望靠ETW这双“天眼”来洞察敌情，结果呢？现在连这双眼睛都有人敢蒙了,你说气不气人？
你们知道那种感觉吗？就像你辛辛苦苦在家里装了全套360度无死角监控，结果小偷进来第一件事不是偷东西，而是先把你监控线给剪了，还顺手给你留了个中指，哎，那种无力感，真的，直接让我血压飙升180，这种ETW绕过的骚操作，说白了，就是攻击者利用各种奇技淫巧，要么直接Patch内核里的ETW回调函数，要么干脆利用漏洞提权后篡改日志过滤条件，让你的威胁情报监控变成“睁眼瞎”。
这时候肯定有朋友要说了：“哎呀，这有啥好怕的，我们集团不是买了天价威胁情报平台吗？” 哎呀喂，兄弟，这话我以前也这么觉得，但现实啪的一下打脸啊！你想想，你情报库再牛，里面记录了1000种攻击手法，可人家用的是第1001种ETW绕过方式，你上哪检测去？这不就跟你拿着《孙子兵法》去挡核弹一样？纸上谈兵啊！
我的真实感受是，咱们得换个思路，威胁情报不再是单纯的“已知黑名单”匹配，而是一种“行为基线”的参照物，你要清楚，ETW绕过的目标往往是日志调用的逻辑漏洞或权限控制缺陷，那咱们就在日常监控里，把“谁在修改ETW相关注册表键值”、“谁在加载可疑驱动文件”这类行为单独拎出来做重点预警，哎呀，这就跟刑警办案一样，线索断了，咱就查毒枭身边的厨子吃了啥喝啥，对不对？这逻辑,绝了！
来来来，给你们说个让我印象深刻的案例，上个月，我们客户服务器半夜被捅了，日志被清得干干净净，当时我看一眼进程列表，好家伙，连wmiPrvSE.exe都伪装得一本正经，要不是我们蜜罐系统捕捉到了一丢丢异常的网络回连，那这活儿就真的黄了，后来拿到样本分析，果然是用了公开的ETW绕过工具，通过Patchguard的漏洞（当然不是公开漏洞）来规避检测，唉，这事儿搞得我凌晨三点都在机房啃着冷掉的煎饼果子，边吃边骂娘，你瞅瞅，这ETW绕过逼得我们这些搞安全的不光要有技术，还得有“侦查与反侦察”的刑侦思维。
聊到这儿，我真的得感叹一句，安全这行啊，真是“道高一尺，魔高一丈”的马拉松，咱们不可能一劳永逸，只能不断进化，所以我琢磨着，咱们防御的手段也得“去中心化”，别什么日志都丢到一个ETW会话里，多分几路采集，哪怕被绕过了一两条管道，咱们还有其他的“眼线”不是？
还有，那些威胁情报团队啊，你们别再天天盯着那些老的掉渣的恶意IP列表了！去研究研究ETW绕过的利用链模型，把情报的维度从“是什么”提升到“为什么”和“怎么做”,那才是真正能救命的情报！
行了行了，一口气说了这么多，嗓子都冒烟儿了，说实话，对于ETW绕过，我是恨得牙痒痒，但也是真着迷，就像跟一个高手过招，虽然总被揍，但每次都能学到新姿势，最后还是那句老话，安全无小事，别把宝全押在一个篮子里，咱们下回再聊，我得去把昨天没看完的驱动逆向报告啃完了，啊，对了，如果你也有被ETW绕过折磨的经历，欢迎评论区留言抱团取暖，咱们互相安慰一下！嗯，就这么定了,散会！