InjectProc

Prozessinjektion ist eine sehr beliebte Methode, um bösartiges Verhalten von Code zu verbergen und wird von Malware-Autoren stark genutzt.

Es gibt mehrere Techniken, die häufig verwendet werden: DLL-Injektion, Prozessersetzung (auch bekannt als Process Hollowing), Hook-Injektion und APC-Injektion.

Die meisten verwenden dieselben Windows-API-Funktionen: OpenProcess, VirtualAllocEx, WriteProcessMemory, für detaillierte Informationen zu diesen Funktionen, verwenden Sie MSDN.

DLL-Injektion:

• Öffnen Sie den Zielprozess.
• Speicherplatz zuweisen.
• Code in den entfernten Prozess schreiben.
• Den entfernten Code ausführen.

Prozessersetzung:

• Zielprozess erstellen und anhalten.
• Aus dem Speicher auslagern.
• Speicherplatz zuweisen.
• Header und Abschnitte in den entfernten Prozess schreiben.
• Entfernten Thread fortsetzen.

Hook-Injektion:

• Prozess suchen/erstellen.
• Hook setzen

Hinweis:

InjectProc verwendet die Funktion SetWindowsHookEx, Sie können verschiedene Wege zum Installieren von Hooks ausprobieren, zum Beispiel EasyHook

APC-Injektion:

• Prozess öffnen.
• Speicherplatz zuweisen.
• Code in entfernte Threads schreiben.
• Threads mit QueueUserAPC "ausführen".

Download

Windows x64-Binärdatei - x64-Bit-Demo

Abhängigkeiten:

vc_redist.x64 - Microsoft Visual C++ Redistributable

DEMO

InjectProc DEMO - Prozessinjektionstechniken

Mitwirkende

• nullbites

Warnung

Funktioniert unter Windows 10 Build 1703, 64-Bit.

Ich habe nicht genug Zeit, andere Systeme zu testen und es portabel zu machen; wenn Sie genug Zeit haben, tragen Sie bitte dazu bei.

Ich habe dieses Projekt für mich erstellt, um besser zu verstehen, wie Prozessinjektion funktioniert, und ich denke, es wird auch vielen Anfänger-Malware-Analysten helfen.