FalconEye: Echtzeit-Erkennungssoftware für Windows-Prozess-Injektionen

FalconEye ist eine Windows-Endpunkt-Erkennungssoftware für Echtzeit-Prozess-Injektionen. Es ist ein Kernel-Mode-Treiber, der darauf abzielt, Prozessinjektionen im Moment ihres Auftretens (Echtzeit) zu erkennen. Da FalconEye im Kernel-Modus läuft, bietet es eine stärkere und zuverlässigere Verteidigung gegen Prozessinjektionstechniken, die versuchen, verschiedene User-Mode-Hooks zu umgehen.

Sie können unsere Präsentation auf dem 2021 Blackhat ASIA Arsenal und die Folien einsehen.

Projektübersicht

Erkennungsabdeckung

Die folgende Tabelle zeigt den Implementierungsstatus und die Erkennungslogik für die verschiedenen Prozessinjektionstechniken. WPM steht für WriteProcessMemory. Zum Testen der Erkennung kann auf den Abschnitt 'Referenzen' verwiesen werden.

Technik	Status	Erkennung	Verwendeter POC
Atombombing	✓	Hook QueueUserAPC und suche nach Funktionen der GlobalGetAtom-Familie	Pinjectra
Instrumentation callback injection	✓	Erkennen, ob ein neuer Thread aus fließendem Code erstellt wird	https://github.com/antonioCoco/Mapping-Injection
Reflective DLL Injection	✓	Erkennen, ob ein neuer Thread aus fließendem Code erstellt wird und ob ein PE-Header in das Opfer geschrieben wird	MInjector
PROPagate	✓	Hook SetProp, um die Adresse der geschriebenen Eigenschaft zu erhalten, und korreliere mit vorherigen WPM-Aufrufen, um die Adresse von fließendem Code zu erhalten	Pinjectra
Process Hollowing	✓	Erkannt durch in den Zielprozessspeicher geschriebenen PE-Header	MInjector
CreateRemoteThread with LoadLibrary	✓	Neuer Thread mit Startadresse, die auf LoadLibrary zeigt. Die MInjector-Version schreibt auch den DLL-Pfad mittels WPM, was ebenfalls erkannt wird	MInjector, Pinjectra
CreateRemoteThread with MapViewOfFile	✓	Erkennen, ob ein neuer Thread aus fließendem Code erstellt wird	Pinjectra
Suspend-Inject-Resume	✓	Erkennen, ob ein neuer Thread aus fließendem Code erstellt wird (MInjector). DLL-Pfad wird via WPM geschrieben (MInjector). Erkennen, ob ein Kontext auf einen zuvor ausgesetzten Thread gesetzt wird (Pinjectra)	MInjector, Pinjectra
QueueUserAPC	✓	DLL-Pfad wird via WPM geschrieben	MInjector
QueueUserAPC with memset (Stackbombing)	✓	Hook QueueUserAPC und suche nach memset	Pinjectra
SetWindowLong (Extra window memory injection)	✓	Hook SetWindowLong, um die Adresse des geschriebenen Funktionszeigers zu erhalten, und korreliere mit vorherigen WPM-Aufrufen, um die Adresse von fließendem Code zu erhalten	Pinjectra
Unmap + Overwrite	✓	Warnen, wenn der Angreiferprozess ntdll aus dem Opfer entfernt	Pinjectra
Kernel Ctrl Table	✓	Erkennen, ob WPM das KernelCallbackTable-Feld im PEB des Opfers überschreibt	https://github.com/odzhan/injection/blob/master/kct

Architekturübersicht

alt text

Der Treiber ist ein On-Demand-Ladetreiber
Die Initialisierung umfasst das Einrichten von Callbacks und Syscall-Hooks über libinfinityhook
Die Callbacks verwalten eine Karte von PIDs, die aus prozessübergreifenden Aktivitäten wie OpenProcess aufgebaut wird, aber nicht auf OpenProcess beschränkt ist
Nachfolgende Callbacks und Syscall-Hooks verwenden diese PID-Karte, um das Rauschen bei der Verarbeitung zu reduzieren. Als Teil der Rauschunterdrückung filtern Syscall-Hooks Aktivitäten im selben Prozess heraus.
Die Erkennungslogik ist in Unterkategorien unterteilt: zustandslos (Beispiel: Atombombing), zustandsbehaftet (Unmap+Overwrite) und Floating Code (Shellcode aus mehreren Techniken)
Für zustandsbehaftete Erkennungen zeichnen Syscall-Hooks eine ActionHistory auf, die als Ringpuffer implementiert ist. Z.B. zeichnet sie alle NtWriteVirtualMemory-Aufrufe auf, bei denen der aufrufende Prozess vom Zielprozess verschieden ist.
Die Erkennungslogik verfügt über gemeinsame Anomalieerkennungsfunktionen wie die Erkennung von fließendem Code und die Erkennung von Shellcode-Triggern in entfernten Prozessen. Sowohl Callbacks als auch Syscall-Hooks rufen diese gemeinsame Funktionalität für die eigentliche Erkennung auf.

HINWEIS: Unser Fokus lag auf der Erkennung und nicht auf der Erstellung einer leistungsfähigen Erkennungsengine. Wir werden diese Bemühungen auch nach der BlackHat-Präsentation fortsetzen.

Dateien

.
├── src 
│   ├── FalconEye ---------------------------# FalconEye Benutzer- und Kernelraum
│   └── libinfinityhook ---------------------# Kernel-Hook-Implementierung
├── 2021BHASIA_FalconEye.pdf
└── README.md

Erste Schritte

Voraussetzungen

Windows 10 Build 1903/1909
Microsoft Visual Studio 2019 und höher
Virtualisierungssoftware wie VmWare, Hyper-V (Optional)

Installation

Erstellen

Öffnen Sie die Projektmappe mit Visual Studio 2019
Wählen Sie x64 als Build-Plattform
Erstellen Sie die Projektmappe. Dies sollte die Binärdatei FalconEye.sys unter src\kernel\FalconEye\x64\Debug oder src\kernel\FalconEye\x64\Release erzeugen

Testmaschineneinrichtung

Installieren Sie Windows 10 Build 1903/1909 in einer VM
Konfigurieren Sie die VM zum Testen von nicht signierten Treibern

Verwenden Sie bcdedit, um Integritätsprüfungen zu deaktivieren: BCDEDIT /set nointegritychecks ON

Führen Sie DbgView von Sysinternals in der VM aus oder starten Sie eine Debugging-Verbindung mit WinDbg.

Verwendung

Kopieren Sie FalconEye.sys auf die Testmaschine (Windows 10 VM)
Laden Sie FalconEye.sys als On-Demand-Ladetreiber mit OSR Loader oder ähnlichen Werkzeugen
Führen Sie Injektionstestwerkzeuge wie pinjectra, minjector oder andere Beispiele aus
Überwachen Sie Debug-Protokolle entweder über WinDbg oder DbgView