Maldev Academy - RemoteTLSCallbackInjection

Schnelllinks

Maldev Academy Startseite

Maldev Academy Lehrplan

Verwandte Maldev Academy Module

Neues Modul 34: TLS-Callbacks für Anti-Debugging

Neues Modul 35: Threadless Injection

Überblick

Diese Methode nutzt TLS-Callbacks, um eine Payload auszuführen, ohne Threads in einem entfernten Prozess zu erzeugen. Diese Methode ist von Threadless Injection inspiriert, da RemoteTLSCallbackInjection keine API-Aufrufe tätigt, um die injizierte Payload auszulösen.

Implementierungsschritte

Der PoC folgt diesen Schritten:

1. Erstellen Sie einen angehaltenen Prozess mithilfe der CreateProcessViaWinAPIsW-Funktion (z. B. RuntimeBroker.exe).
2. Rufen Sie die Image-Basisadresse des entfernten Prozesses ab und lesen Sie die PE-Header des Prozesses.
3. Rufen Sie eine Adresse einer TLS-Callback-Funktion ab.
4. Patchen Sie einen festen Shellcode (d. h. g_FixedShellcode) mit zur Laufzeit ermittelten Werten. Dieser Shellcode ist dafür verantwortlich, sowohl die ursprünglichen Bytes als auch die Speicherberechtigung der TLS-Callback-Funktion wiederherzustellen.
5. Injizieren Sie beide Shellcodes: g_FixedShellcode und die Haupt-Payload.
6. Patchen Sie die Adresse der TLS-Callback-Funktion und ersetzen Sie sie durch die Adresse unserer injizierten Payload.
7. Setzen Sie den Prozess fort.

Der g_FixedShellcode-Shellcode stellt dann sicher, dass die Haupt-Payload nur einmal ausgeführt wird, indem er die ursprüngliche Adresse des TLS-Callbacks wiederherstellt, bevor die Haupt-Payload aufgerufen wird. Ein TLS-Callback kann während der Lebensdauer eines Prozesses mehrmals ausgeführt werden. Daher ist es wichtig, die Anzahl der Auslösungen der Payload zu kontrollieren, indem der ursprüngliche Code-Pfad zur ursprünglichen TLS-Callback-Funktion wiederhergestellt wird.

Demo

Das folgende Bild zeigt unsere Implementierung, RemoteTLSCallbackInjection.exe, die eine cmd.exe als Haupt-Payload startet.