知名Webshell管理工具“冰蝎”（ Behinder）发布了4.0版更新，增加了诸多特性，如取消硬编码通信协议，传输协议完全自定义等。观成科技安全研究团队立刻针对新版冰蝎加密流量展开了研究。

冰蝎4.0加密流量特征与3.0版相差比较大。首先是加密方式，客户端自带xor、xor_base64、aes、json和image等五种加密方式，每种加密方式都支持自定义加解密代码；其次是传输方式，冰蝎4.0引入了okhttp3客户端，因此HTTP协议交互、TLS协议交互与3.0的客户端也有显著不同。

基于上述分析，我们针对冰蝎4.0在TLS未解密（TLS协议流量）、TLS解密（HTTP协议流量）两种场景下的流量进行抓取分析，并迅速升级检测方案。目前，观成瞰云经升级后，已实现针对冰蝎4.0各种加密流量的检出。具体检出情况如下：

• TLS未解密冰蝎4.0加密流量检测：

• TLS解密冰蝎4.0加密流量检测：

观成瞰云（ENS）

观成瞰云-加密威胁智能检测系统（ENS）是观成科技将人工智能与安全检测技术相结合的创新型安全产品，可针对恶意软件、黑客工具、非法应用等加密威胁进行有效检测。该产品为观成科技自主研发、具有完整的知识产权，解决了恶意加密流量检测难题，填补了市场和技术空白。

观成科技

观成科技成立于2018年8月，由国内一流安全团队创建，团队核心成员拥有十余年的攻防对抗、产品研发、安全分析、人工智能的实战经验。        观成科技坚持“自主研发、持续创新”，公司将人工智能、攻防技术和密码技术相结合，在国内首家推出针对加密流量AI安全检测、防御的创新型产品，产品已申请加密流量检测相关国家发明专利20余篇，应用在军工、网信、部委、央企等重要客户，并被多个央企、龙头安全企业选为合作伙伴。        公司2019年6月获得联想之星、基石基金的天使轮投资；2021年2月获得奇安投资、基石基金的Pre-A投资。