Hunt-Weird-ImageLoads

Dieses Projekt wurde erstellt, um mit verschiedenen IOCs zu spielen, die durch ImageLoad-Ereignisse verursacht werden.
Es nutzt ETW, um ImageLoad-Ereignisse zu überwachen, und durchläuft den Callstack, um einige mögliche IOCs zu identifizieren, wie zum Beispiel:

• R(W)X-Seite im Callstack
• Gestomptes Modul im Callstack
• Modul-Proxying ( ntdll -> kernel32!LoadLibrary ), wie hier oder hier beschrieben
• Neuer dedizierter Thread zum Laden einer Bibliothek

In diesem Repository befinden sich zwei Beispielprogramme für Modul-Proxying und dedizierte Threads.

Fazit

In meinen Tests hatte ich bei der Überwachung auf private oder gestompte Modulseiten im Callstack viele Fehlalarme, und das ist wahrscheinlich kein gültiger IOC.
Allerdings scheinen sowohl Modul-Proxying als auch dedizierte Threads ziemlich ungewöhnlich zu sein, aber seht selbst.

Verwendung

--all activates all alerts
--rx alerts on private rx regions in callstack
--rwx alerts on private rwx regions in callstack
--stomped alerts on stomped modules in callstack
--proxy alerts on abnormal calls to kernel32!loadlibrary from ntdll
--dedicatedthread alerts on thread with baseaddr on loadlibrary*

## Danksagungen

- [@rad9800](https://twitter.com/rad9800) [Für eine Beispielimplementierung von LoadLibray über RtlQueueWorkItem](https://github.com/rad9800/misc/blob/main/bypasses/WorkItemLoadLibrary.c)
- [@NinjaParanoid](https://twitter.com/NinjaParanoid) [Für einen super coolen Blogbeitrag zu diesem Thema](https://0xdarkvortex.dev/proxying-dll-loads-for-hiding-etwti-stack-tracing/)