MappedImagesDetector

Nativer Windows-Speicherscanner zur Erkennung bösartiger DLL-Injektionen und In-Memory-Malware

MappedImagesDetector ist ein systemnahes C++20-Windows-Tool zur Erkennung bösartiger DLL-Injektionstechniken, die von moderner Malware verwendet werden, darunter manuell gemappte DLLs, gelöschte PE-Header und verdächtige speichergemappte Images, die von herkömmlichen Antivirenlösungen oft übersehen werden.

Dieses Projekt konzentriert sich auf speicherbasierte Erkennung, nicht auf Datenträgersignaturen. Es ist entwickelt für Antiviren-Engines, EDR-Systeme und Malware-Forschung, bei denen die Sichtbarkeit in den Adressraum eines Prozesses entscheidend ist.

Welches Problem löst dies?

Moderne Malware agiert zunehmend vollständig im Speicher:

• DLLs, die manuell ohne Verwendung von LoadLibrary gemappt wurden
• PE-Header, die nach dem Mapping gelöscht wurden, um Scanner zu umgehen
• Gefälschte oder unvollständige Import-Adresstabellen (IAT)
• Ausführbare Speicherbereiche, die zu keinem legitimen Modul gehören

Datenträgerbasierte Antivirensoftware sieht nichts. MappedImagesDetector untersucht den Prozessspeicher direkt und kennzeichnet diese Anomalien.

Kernfunktionen

• Erkennung manuell gemappter DLLs, die nicht in den PEB/LDR-Modullisten vorhanden sind
• Identifikation gelöschter oder beschädigter PE-Header im Speicher
• Markierung verdächtiger gemappter Images und verwaister ausführbarer Bereiche
• Erkennung von IAT/CRT-Thunk-Anomalien, die bei manuellem Mapping üblich sind
• Scannen ausführbarer Speicherbereiche mit abnormen Schutzattributen (RWX / nur EXEC)
• Leichte, native C++20/Win32-Implementierung
• Entwickelt für die Einbettung in AV/EDR-Pipelines

Keine Tricks. Keine Signaturdatenbanken. Nur Speicherinspektion.

Für wen dies gedacht ist

• Antiviren- & EDR-Entwickler, die speicherbasierte Erkennung hinzufügen
• Blue-Team- & SOC-Ingenieure, die Incident Response betreiben
• Malware-Forscher, die In-Memory-Implantate analysieren
• Sicherheitsingenieure, die defensive Werkzeuge bauen

Dies ist kein offensives Framework und kein Loader.

Wie die Erkennung funktioniert (Überblick)

Der Scanner wendet mehrere defensive Heuristiken an:

• Aufzählung der virtuellen Speicherregionen eines Prozesses
• Korrelation gemappter Images mit PEB/LDR-Modullisten
• Validierung von In-Memory-PE-Strukturen, falls vorhanden
• Erkennung von Inkonsistenzen, die typisch für manuelles Mapping sind
• Markierung ausführbarer Bereiche, die keinem gültigen Image zugeordnet sind

Jeder Fund kann bewertet und von übergeordneter Logik (EDR, SIEM, Automatisierung) verarbeitet werden.

Repository-Struktur

AnomaliesDetector/        # Kernlogik des Scanners
TestModule/              # Test-DLL für lokale Validierung
MappedImagesDetector.sln # Visual Studio-Projektmappe

Voraussetzungen

• Windows 10+ (x64)
• Visual Studio 2019 oder 2022
• MSVC mit aktiviertem C++20

Build

Öffnen Sie die Projektmappe in Visual Studio und erstellen Sie x64 / Release, oder verwenden Sie MSBuild:

msbuild MappedImagesDetector.sln /p:Configuration=Release /p:Platform=x64

Die Binärdateien werden in den bin-Verzeichnissen des Projekts erstellt.

Verwendung

• Führen Sie den Scanner mit ausreichenden Berechtigungen aus, um Prozesse aufzulisten
• Verwenden Sie TestModule nur für Entwicklung und Validierung
• Integrieren Sie die Kernlogik als Erkennungsmodul in AV- oder EDR-Komponenten

Die Protokollierung erfolgt über den integrierten Logger und kann umgeleitet oder erweitert werden.

Falschpositive

Speichererkennung ist leistungsstark, aber verrauscht. Dieses Projekt ist als Folgendes gedacht:

• Ein Signal, nicht ein Urteil
• Kombiniert mit Verhalten, Reputation und Telemetrie
• Optimiert mit Allowlisten und kontextbewusster Logik

Mitwirken

Beiträge, die sich auf defensive Erkennungsqualität konzentrieren, sind willkommen:

1. Forken Sie das Repository
2. Erstellen Sie einen Feature-Branch
3. Stellen Sie saubere Windows-x64-Builds sicher
4. Reichen Sie einen PR mit klarer Begründung ein

Pull-Requests, die offensive oder loaderartige Funktionalität hinzufügen, werden abgelehnt.

Zusammenfassung

MappedImagesDetector existiert aus einem Grund:

Um bösartigen Code aufzudecken, der sich im Speicher versteckt und die traditionelle Antiviren-Erkennung umgeht.

Wenn Sie Sicherheitssoftware entwickeln und sich immer noch auf reine Datenträgerindikatoren verlassen, sind Sie bereits im Rückstand.