星图实验室联合清华大学、中关村实验室在 NDSS 2026 发表研究成果！团队分析超 320 万个恶意样本，构建了全球最大的代码签名滥用数据集（43,286张证书），首次发现"幽灵证书"威胁，系统揭示五大攻击策略。数据集已开源，为软件供应链安全研究提供重要支撑

一、代码签名沦为恶意软件的“护身符”

当你在运行某个软件时，看到如下所示的弹框，“已验证的发布者：XXX有限公司”，你是否会不假思索地点击“是”？然而，大量安全事件表明这样的信任已经被攻击者滥用，看似安全的软件来源可能来自于精心设计的伪装。

近年来，软件供应链安全事件频发，为了保护软件真实性与完整性，代码签名机制应运而生。代码签名主要依赖公钥基础设施 PKI 技术，旨在确保软件来自真实来源且软件内容未被篡改。当终端用户安装或以管理员权限运行软件时，操作系统会验证代码签名的有效性，帮助用户判断此软件是否值得信任（如上图所示）。然而，攻击者有时会反过来利用代码签名 PKI 信任体系中的安全缺陷，通过某种手段为恶意软件配置代码签名，帮助恶意软件绕过操作系统和杀毒软件的检查，我们称之为“代码签名滥用”。

为了应对代码签名滥用带来的安全威胁，奇安信技术研究院星图实验室与清华大学、中关村实验室联合研究团队在 NDSS 2026 会议上发表了论文《Understanding the Status and Strategies of the Code Signing Abuse Ecosystem》。这项工作由清华大学和奇安信联合培养的卓越工程师计划博士研究生赵汉卿主导完成，导师为段海新教授（清华大学）和应凌云博士（奇安信星图实验室）。其他作者分别为张一铭（清华大学）、张明明（中关村实验室）、刘保君（清华大学）、游子权（清华大学）、张书豪（奇安信星图实验室）。

在这项工作中，我们利用从真实世界中收集的 3,216,113 个已签名的恶意 PE 文件，对 Windows 代码签名滥用行为进行了大规模测量。通过细粒度的代码签名滥用检测分类算法，我们检测到了 43,286 张滥用证书，构建了迄今为止最大的滥用标记数据集。分析发现当前代码签名滥用现象普遍存在，影响了 46 家 CA 厂商以及 114 个国家或地区的证书。我们发现了五种滥用者的攻击策略，并根据当前代码签名 PKI 存在的安全缺陷提出了若干缓解措施。

二、代码签名研究的三大挑战

与传统的 Web PKI 不同，代码签名 PKI 测量研究存在三大挑战：

1. 缺少大规模数据集：

   在 Web PKI 中，研究者可以通过 TLS 扫描主动收集数据或被动分析 TLS 流量。Censys 和 Rapid7 等公共数据集也能为测量工作提供支持。此外，证书透明度（CT）机制提供了 CA 颁发记录，方便研究者批量获取证书数据。然而，代码签名生态系统相对封闭，无法通过主动扫描或 CT 等手段获取大规模数据集，这是制约代码签名测量研究的最大障碍。

2. 缺少 Ground Truth：

   尽管近年来代码签名滥用事件频发，但是学术界尚未找到代码签名滥用检测分类相关的 Ground Truth，以往基于签发行为的分类方法被证实可能会被攻击者绕过。这阻碍了对代码签名证书进行标注和聚类分析。

3. 问题根源难以溯源：

   CA 端的操作和实现并不透明，即便定位到代码签名滥用行为，也难以由此溯源到造成滥用的根源所在，导致无法提出有针对性的缓解措施。

我们的工作分别通过综合公共数据集与私有沙箱样本、设计基于撤销信息的滥用检测分类算法、按照不同滥用类型作细粒度分析等方法解决了以上三大挑战。

三、代码签名滥用测量的创新方法设计

为了解决以上挑战，我们提出了针对代码签名滥用测量的一系列创新方法设计，以实现大规模、细粒度、可溯源的滥用测量分析。

数据收集方面，我们综合了公共数据集与私有沙箱样本。我们收集了公共恶意软件存储库 VirusShare 在 2020 年 10 月至 2024 年 10 月期间发布的所有样本，经过过滤保留了 176,968 个签名 PE 样本。此外，我们还从合作公司沙箱中补充收集了 3,828,744 个签名的 PE 文件。两个数据集通过合并去重后共得到 3,962,788 个签名样本，通过反病毒引擎分析最终筛选出了 3,216,113 个恶意签名样本。此外，我们还从多个维度对样本特征进行了扩充，比如爬取 CRL 撤销信息、收集样本恶意行为分析报告等，以实现更精准的检测与分析。

为了实现细粒度的分析，我们提出了一种代码签名滥用检测分类算法。受益于近年来 CA 撤销透明度的改善，我们得以通过已撤销证书被披露的撤销原因（Revocation Reason）来推知证书滥用背后的原因。我们依据样本对应的 SignTool 输出结果、CRL 撤销信息以及 OpenCorporates 查询结果设计了新的检测分类方法，将滥用分为签名复制、私钥窃取、身份盗用、空壳公司、自签证书等五种滥用类型。不同的滥用类型采取了不同的滥用手段，其产生的安全威胁与影响范围也有所不同。对于私钥窃取、身份盗用以及空壳公司这三类相对高级的滥用类型而言，由于攻击者掌握受信任证书的私钥，他们可以任意为恶意软件进行签名且不会触发操作系统的安全告警，具有隐蔽性强、影响范围大的特点。

此外，我们还设计了一种基于LLM的证书关联方法，通过输入证书主题字段以及公钥信息来推断滥用证书是否来自同一攻击者。这一方法不仅帮助我们扩展标记了 287 张未标记滥用证书，还以此聚类得到了 3,484 个证书多态类簇，为后续滥用策略分析提供支撑。

四、核心贡献与关键发现

构建迄今最大的滥用标记数据集

利用代码签名滥用检测分类算法，我们最终收集到了 3,216,113 个来自真实世界的已签名的恶意 PE 文件，从中提取得到了 43,286 张滥用证书，构建了迄今为止最大的代码签名滥用标记数据集。值得注意的是，其中有 23,252 张滥用证书由公共可信 CA 颁发，我们的工作重点关注这些具有高威胁的证书样本。

对滥用生态开展全面测量

我们利用上述代码签名滥用标记数据集对滥用生态开展了全面而深入的测量分析工作。分析发现当前代码签名滥用现象普遍存在，影响了 46 家 CA 厂商以及 114 个国家或地区的证书。我们发现部分 CA 明显更受攻击者青睐，且与市场份额与证书价格无关，这可能反映出某些 CA 对于证书申请者的身份审核存在漏洞。

良性样本与恶意样本代码签名中的 CA 分布对比

首次发现“幽灵证书”

阻止滥用证书的唯一有效手段是证书撤销，测量发现为恶意软件签名的滥用证书撤销率仅为 17.56%。我们首次发现了制约撤销率提高的关键因素——“幽灵证书”，即已被确定为滥用却无法被撤销的证书。这些证书由于其颁发者证书过期、撤销或停止运营导致撤销设施（CRL/OCSP）失效，即使识别到滥用行为也无法发布撤销信息，而它们的代码签名即使在签名证书过期后由于时间戳（TSA）的存在依然有效。我们发现已确认被滥用但仍未被撤销的证书中至少有 38.96% 符合“幽灵证书”的条件。

“幽灵证书”示意图

发现五种滥用策略

为了找到当前代码签名 PKI 的安全缺陷并提出有针对性的缓解措施，我们深入分析了攻击者的行为和策略。我们通过分析标记数据集总结出了五种滥用策略，旨在逃避检查、降低成本和扩大攻击影响。例如，在证书申请阶段，攻击者可能会利用不同国家之间 CA 身份审查宽松程度的差异有选择性地申请证书（比如假以越南、亚美尼亚等国公司的身份进行申请）。在证书签名阶段，攻击者可能会为恶意软件精心配置“双签名”，通过附加兼容旧密码算法的签名来扩大攻击影响范围。

深入挖掘证书多态现象

证书多态也是攻击者常用的滥用策略之一。证书多态是指同一实体使用相同（或稍有修改）身份向相同或不同的 CA 申请多张证书的现象。借助证书多态，攻击者可以以相对较低的成本批量获得多个证书（避免注册多个空壳公司带来的巨额开销），同时逃避 CA 撤销的检查（一张证书被撤销不影响其他证书）。我们通过证书关联方法识别了 3,484 个证书多态类簇，发现了 315 个利用多态绕过撤销检查的真实案例。此外，我们还首次发现了利用特殊字符实施证书多态的实例（如下图所示）。

利用特殊字符实施证书多态的示意图

五、总结

代码签名是验证发布者身份并确保软件完整性的重要机制。然而，我们的研究发现代码签名滥用已经成为了软件生态的重大安全威胁之一。我们对现实世界的代码签名滥用生态系统进行了大规模测量研究，开发了一种针对证书滥用类型的细粒度检测分类方法，获得了迄今为止最大的滥用证书标记数据集（43,286 个证书）。利用该数据集，我们对代码签名生态系统与攻击者行为进行了全面而深入的分析，揭示了攻击者一系列的代码签名滥用策略。

我们认为造成代码签名滥用持续泛滥的安全缺陷主要来自于 CA 端，包括颁发过程缺乏标准化、消极的滥用治理等。我们建议 CA 增强证书颁发与撤销的透明度（比如建立 CT）、主动监测野外滥用行为、为证书主题字段建立统一标准。同时，我们也希望 Windows 做出相应调整以缓解“幽灵证书”的影响。

最后，本文构建的代码签名滥用数据集已开源发布，期待能为后续研究工作提供参考。我们希望安全社区能够给予代码签名领域更多关注，以更好地维护健康的软件生态。感谢您的阅读！

论文&项目开源地址：https://github.com/XingTuLab/Code_Signing_Abuse_Dataset

阅读原文

跳转微信打开

奇安信星图实验室与北邮团队在NDSS 2026发表JavaScript反混淆论文，系统归纳20种混淆技术，提出融合静态、动态与LLM的分析方法。这是继CCS 2024、DSN 2022后团队在脚本反混淆安全领域的又一学术成果。

一、当恶意代码穿上”隐身衣”：JavaScript混淆的现实威胁

打开一个可疑的JavaScript文件，你可能会看到这样的代码：

这不是乱码，而是攻击者精心设计的”隐身衣”——JavaScript代码混淆。这段看似天书般的代码，实际上可能隐藏着窃取用户数据、植入后门或发起网络攻击的恶意逻辑。

JavaScript作为互联网前端和客户端脚本的核心语言，在网页及各类网络应用中被广泛使用，这也使其成为了攻击者的首选目标。攻击者频繁利用JavaScript的动态特性，通过多层、多样化的混淆技术隐藏恶意代码，极大增加了安全分析的难度。

面对这一日益严峻的安全威胁，奇安信技术研究院星图实验室与北京邮电大学联合研究团队在NDSS 2026会议上发表了论文《From Obfuscated to Obvious: A Comprehensive JavaScript Deobfuscation Tool for Security Analysis》。该论文由北京邮电大学和奇安信联合培养的卓越工程师计划博士研究生周董超在奇安信技术研究院联培期间主导完成，导师为应凌云博士（奇安信星图实验室）和王东滨教授（北京邮电大学），参与该项工作的还有柴华君（奇安信星图实验室）。这篇论文也是我们继PowerPeeler (CCS 2024)和Invoke-Deobfuscation (DSN 2022)之后的又一项脚本反混淆工作。

通过系统性文献调研和样本分析，研究团队将JavaScript混淆技术归纳为四大类共20种技术：词法级混淆（变量重命名、间接属性访问等5种）、语法级混淆（表达式转函数、特殊编码等6种）、语义级混淆（字符串数组、控制流平坦化等7种）和多层混淆（OB混淆、AI辅助混淆2种）。针对这些复杂化的混淆趋势，研究开发的综合性反混淆工具JSIMPLIFIER能够自动破解各种混淆技术，将晦涩的恶意代码还原为安全分析师能够快速理解的清晰形式。

二、现有反混淆工具的三重困境

当前的JavaScript反混淆工具面临着三个核心挑战，这些挑战严重限制了它们在实际安全分析中的应用效果。

输入处理的脆弱性： 现有工具在遇到不同语法、混合编码、打包器包装等”不规范”输入时经常直接崩溃。真实世界的恶意代码往往包含这些问题，导致工具连分析机会都没有。
分析策略的单一性： 静态分析工具无法处理运行时依赖的混淆（如动态代码生成），动态分析工具又难以应对大规模样本和安全风险。更关键的是，现有工具通常只针对特定混淆模式，缺乏对多层混淆的综合支持。以JSFireTruck恶意软件为例，这个一个月内感染26.9万网页的攻击使用了复杂的多层混淆，现有工具要么无法处理，要么只能部分解码。
输出可读性的缺失： 即使成功反混淆，输出代码仍充斥着_0x4f2a、_0x1b3c等这样的无意义标识符，安全分析师需要花费大量时间才能理解代码逻辑，严重影响威胁响应效率。

三、JSIMPLIFIER的创新设计

针对以上挑战，我们提出了JSIMPLIFIER，一款集代码预处理、静态抽象语法树分析、动态执行跟踪和大语言模型（LLM）智能变量重命名与代码美化于一体的综合性反混淆工具。JSIMPLIFIER采用三阶段流水线架构，每个阶段专门解决一类核心问题，形成了从”输入修复”到”逻辑还原”再到”可读性提升”的完整处理链条。

预处理器：让”坏代码”变”好代码”（Preprocessor）

预处理器是整个系统的基石，负责将各种”问题代码”标准化为可分析的格式。它首先进行代码有效性检查，使用容错性强的Meriyah解析器，即使面对不同灵活语法或不完整的代码也能生成完整的抽象语法树（AST）。接着进行词法清理，系统性地处理字符编码冲突，比如将过时的八进制转义序列（如\302）转换为标准的十六进制格式（如\xC2），并重建被分割的多字节UTF-8字符。在语义兼容化阶段，系统将遗留的JavaScript构造替换为跨平台等价物，确保在现代JavaScript环境中的兼容性。最后通过结构优化，利用AST作用域链遍历解决声明冲突，将代码重构为严格模式兼容的形式。

反混淆器：静态与动态的完美协作（Deobfuscator）

反混淆器采用混合分析设计，巧妙结合静态AST分析和受控动态执行。

增强的静态AST分析 方面，JSIMPLIFIER配备强化表达式求值引擎，专门处理混淆代码中的复杂构造：对于LogicalExpressions，实现正确的短路求值处理嵌套的&&和||链（如False && anything直接返回False）；对于ES6解构赋值如[a, b, c] = [getValue(), obj.prop, func.call(this)]，JSIMPLIFIER扩展AssignmentExpression处理，解析左侧模式结构并递归遍历嵌套数组模式，将每个元素位置映射到对应的右侧值；对于UnaryExpressions中的环境检测代码如typeof window !== 'undefined'，JSIMPLIFIER维护excludedNames白名单（包含window、document、navigator等关键全局变量），避免静态求值破坏环境特定的代码路径。

受控动态执行监控 方面，JSIMPLIFIER首先进行预执行风险评估，扫描危险关键字组合（push、shift、eval、await）识别可能导致无限循环或递归死锁的代码模式，并通过函数依赖映射追踪混淆函数间的调用关系。然后使用Node.js的vm.runInNewContext创建隔离执行环境，每个混淆代码段在独立的沙箱VM实例中运行，无法访问文件系统、网络或全局对象，仅暴露必要的内置对象。JSIMPLIFIER实现了全面的安全机制，包括执行超时防止进程挂起、递归深度限制防止无限循环、内存监控防止资源耗尽攻击。

混合分析协调技术 通过双向信息流实现两种分析方法的有机融合。在静态到动态的移交中，当静态分析遇到无法安全求值的CallExpression时（如函数调用者通过变量查找确定、涉及运行时代码生成的调用、依赖运行时状态的调用），JSIMPLIFIER的canbetransformed标记机制识别这些表达式并打包上下文信息传递给动态执行监控。在动态到静态的反馈整合中，动态执行结果经过类型感知处理后重新整合到静态AST：简单数据类型直接转换为字面量AST节点，函数结果解析为FunctionExpression节点，复杂对象通过JSON序列化确保安全表示，同时更新作用域链中的变量绑定并触发依赖代码段的重新分析。

人性化器：从机器码到人类语言（Humanizer）

虽然反混淆器成功恢复了程序逻辑，但结果往往仍然难以阅读。人性化器通过LLM技术将机械正确但晦涩的代码转化为专业、可读的形式。在智能标识符重命名方面，JSIMPLIFIER可以利用多种LLM模型（GPT、Gemini、本地模型等）进行上下文感知的变量和函数重命名，将无意义的混淆标识符替换为语义明确的名称。同时通过专业代码美化，集成Prettier格式化工具，确保输出符合行业标准的代码规范，包括一致的缩进、标准化的括号放置和规范的引号使用，最终生成既功能正确又易于理解的高质量代码。

四、最大规模验证与突破性成果

全面的数据集构建

为公正全面地评估工具性能，我们构建了业界最大的真实JavaScript混淆数据集进行验证。MalJS数据集包含23,212个野生恶意样本（平均391.78KB），这些样本来自超过1000万个真实恶意代码中的精选，覆盖所有已知的20种混淆技术。BenignJS数据集包含21,209个良性样本（平均41.40KB），来源于GitHub热门项目和合法网站。这两个数据集提供了真实世界中多样化和多层混淆技术的样本，远超现有数据集仅包含人工生成样本的局限。

全面的技术覆盖突破

实验评估采用了多个互补维度进行综合测评。在反混淆能力评估中（表II），JSimplifier实现了对全部20种混淆技术的100%处理能力和100%正确率，远超现有工具。与13种现有方法（包括10种传统工具和3种基于LLM的方案）的对比表明，传统工具在面对复杂语义级混淆时表现不足，而即便是先进的LLM方案也难以处理最复杂的混淆方法。

显著的代码简化效果

在代码简化评估中，JSimplifier在多个维度上展现了卓越的性能。首先，工具在CombiBench基准测试上达到了0.8820的Halstead长度减少分数——这一指标衡量代码中操作符和操作数的数量变化，分数越高说明代码复杂度降低更多。JSimplifier实现的88.2%复杂度降低意味着反混淆后的代码比原始混淆代码简单了近9成，显著超越了现有工具。

此外，研究团队还采用熵值分析来量化代码的随机性和混乱程度。熵值越低，代码的结构越清晰、可读性越强。大规模评估显示，JSimplifier在全部44,421个样本上实现了显著的熵值降低（如图2）——无论是AST结构熵（衡量代码语法树的复杂度）还是代码文本熵（衡量文本层面的混乱度）均达到最低中位值，充分证明了工具在真实场景中的有效性。

质的可读性飞跃

为验证代码可读性提升，研究团队采用了多个先进LLM模型（Claude 3.7 Sonnet、Gemini 2.5 Pro、DeepSeek-R1、GPT-o3）进行独立评估。这些模型对代码可读性进行0-10分的打分，其中0分代表完全不可读，10分代表极易理解。评估结果如下表所示，JSimplifier实现了平均466.94%的可读性提升，将难以理解的混淆代码（评分1.02-1.81，接近完全不可读）转化为适合安全分析的清晰代码（评分6.21-7.83，达到良好可读性水平）。

此外，研究团队还进行了用户研究，邀请9名不同专业水平的参与者（新手、中级、专家各3名）分析混淆样本。结果表明JSimplifier显著提升了分析准确率（新手提升12.7%）并大幅减少了分析时间（中级用户减少47.7%），主观评分在可读性、清晰度和逻辑性方面均显著提高。用户研究显示，工具显著提升了分析准确率（新手提升12.7%）并大幅减少了分析时间（中级用户减少47.7%）。一位中级参与者评价道：”变量重命名让我能够快速跟踪逻辑流程，我可以在几分钟内识别出可疑的网络调用，而不是在整个分析过程中大海捞针。”

实战验证：破解JSFireTruck的”密码”

JSFireTruck恶意软件活动是JSIMPLIFIER实战能力的最佳证明。这个复杂的攻击活动仅使用六个ASCII字符!+就构建了极其复杂的混淆代码，传统工具几乎束手无策。

原始混淆代码（部分）：

JSIMPLIFIER反混淆结果：

通过JSIMPLIFIER，安全分析师可以清晰地看到攻击逻辑：检测搜索引擎来源、注入恶意iframe、重定向到攻击域名。这种从”天书”到”明文”的转换，极大提升了威胁分析和响应的效率，展现了工具在真实安全分析场景中的实用价值。

五、结论：从”混乱”到”清晰”的技术突破

JSIMPLIFIER的成功体现了针对JavaScript混淆这一具体安全问题的有效解决方案。通过将静态分析、动态执行和LLM技术相结合，该工具在处理复杂混淆代码方面取得了显著进展。

技术贡献的实际价值主要体现在三个方面：三阶段流水线架构有效解决了输入多样性、分析复杂性和输出可读性的问题；静态与动态分析的协调机制克服了单一方法的局限性；LLM技术的合理应用显著改善了代码的人机交互体验。这些技术改进为反混淆工具的发展提供了新的参考方向。

实验验证的充分性通过大规模真实数据集得到了有力支撑。在44,421个样本上的测试结果——100%的技术覆盖率、88.2%的复杂度降低、466.94%的可读性提升——证明了该方法的有效性。JSFireTruck等真实案例的成功处理进一步验证了工具在实际安全分析场景中的实用价值。

当然，JavaScript混淆技术仍在不断发展，新的挑战也会持续出现。JSIMPLIFIER的模块化设计为应对这些变化提供了一定的灵活性。我们期待通过持续的技术改进和社区合作，进一步提升JavaScript安全分析的效率和准确性。

目前，JSimplifier及对应数据集已开源发布，面向安全研究和防护社区共享。未来工作将继续优化工具性能，扩展对更多混淆技术的支持，为脚本安全分析提供更好的技术工具。

项目开源地址：https://github.com/XingTuLab/JSIMPLIFIER

论文链接：https://arxiv.org/abs/2512.14070

阅读原文

跳转微信打开

DataCon2025|80支精英队伍脱颖而出，斩获殊荣！

阅读原文

跳转微信打开

大战一触即发，报名最后一天，预报从速！

阅读原文

跳转微信打开

阅读原文

跳转微信打开

报名进行中！

阅读原文

跳转微信打开

10月17日DataCon2025报名通道开启，互联网威胁分析比赛中你关心的那些问题，全在这里了！

阅读原文

跳转微信打开

10月17日DataCon2025报名通道开启，互联网威胁分析比赛中你关心的那些问题，全在这里了！

阅读原文

跳转微信打开

DataCon2025 软件供应链安全赛道通关秘籍！

阅读原文

跳转微信打开

10月17日DataCon2025报名通道开启，口令安全比赛中你关心的那些问题，全在这里了！

阅读原文

跳转微信打开

DataCon2025报名进行中， AI安全赛道出题人赛前指导，速读！

DataCon2025报名启动：用数据，守护未来！ (文末抽奖）

感谢主办方清华大学网络科学与网络空间研究院、奇安信集团、蚂蚁集团、腾讯安全应急响应中心；协办方西安交通大学软件学院、复旦大学计算与智能创新学院、南开大学密码与网络空间安全学院、zilliz、蓝莲网安对本次活动的大力支持！

阅读原文

跳转微信打开

DataCon2025报名通道开启，点击了解详情（文末 有抽奖）

阅读原文

跳转微信打开

阅读原文

跳转微信打开

阅读原文

跳转微信打开

超高奖金，等你来战！

阅读原文

跳转微信打开

祝老师们教师节快乐！

阅读原文

跳转微信打开

凝心聚力，共筑强网！

阅读原文

跳转微信打开

阅读原文

跳转微信打开

阅读原文

跳转微信打开

报名倒计时10天！

阅读原文

跳转微信打开