Prozessüberschreibung

Prozessüberschreibung ist eine PE-Injektionstechnik, die eng mit Process Hollowing und Module Overloading verwandt ist.

Mit ihrer Hilfe können Sie die Hauptausführungsdatei (nicht eine DLL) des Zielprozesses ersetzen.

Es funktioniert nur für einen neu erstellten Prozess – die Injektion in bestehende Prozesse wird mit dieser Technik nicht unterstützt.

WARNUNG: Die Größe des Zielabbildes darf NICHT KLEINER sein als die Größe des Nutzlast-Abbildes.

Schritte:

1. erstellt einen angehaltenen Prozess aus einer harmlosen Datei (mit deaktiviertem CFG)
2. bildet die Nutzlast im Speicher ab und schreibt sie über das ursprünglich abgebildete Abbild (ohne das ursprüngliche Abbild zu entladen)
3. aktualisiert den Einstiegspunkt des Prozesses auf den Einstiegspunkt der Nutzlast
4. setzt den Prozess fort, sodass das ersetzte PE ausgeführt wird

[!IMPORTANT]
Lies das FAQ

Demo:

Die Demo-Nutzlast (demo.bin) injiziert in Windows-Rechner (Standardziel):

Im Speicher (via Process Hacker):

📹 Prozessüberschreibung unter Windows 11 24H2: https://youtu.be/sZ8tMwKfvXw

Klonen:

Verwenden Sie rekursiven Klon, um das Repository zusammen mit allen Untermodulen zu erhalten:

git clone --recursive https://github.com/hasherezade/process_overwriting.git