re-evasion
Installation
SKILL.md
检测规避与 EDR 对抗分析
何时使用 / 何时不用
- 用：恶意样本/工具被检测（杀软、EDR）后分析其规避手段——AMSI 绕过、ETW 禁用、无文件执行、lolbin 链
- 用：回答"为什么被检测"与"绕过点在哪"（与检测侧对齐，步骤 5）
- 用：无文件/内存载荷的执行链分析（载荷不落盘的样本）
- 不用：纯静态代码分析（那是 [[re-binary-core]]）；不关心绕过机制、只观察行为的动态分析（那是 [[re-behavior]]）
- 不用：检测规则编写本身（那是 [[re-ioc]] 的 YARA 与检测工程侧）
- 注意：本技能以 Windows 为主（AMSI/ETW/lolbin 均为 Windows 概念）；Linux/macOS 的类似对抗（ptrace 检测、Dyld 注入、kext 绕过）按同一"规避识别→绕过点定位"框架套用
工具准备
规避分析必须动态执行 + 内存取证：全程在沙箱内（[[re-sandbox]] 强制前置，[[re-analyze/platform-tips]] 最高原则）。所有工具先验证再使用。