Maldev Academy - RemoteTLSCallbackInjection

Enlaces Rápidos

Maldev Academy Home

Maldev Academy Syllabus

Módulos relacionados de Maldev Academy

New Module 34: TLS Callbacks For Anti-Debugging

New Module 35: Threadless Injection

Resumen

Este método utiliza TLS callbacks para ejecutar un payload sin generar ningún hilo en un proceso remoto. Este método está inspirado en Threadless Injection, ya que RemoteTLSCallbackInjection no invoca ninguna llamada API para activar el payload inyectado.

Pasos de Implementación

El PoC sigue estos pasos:

1. Crear un proceso suspendido usando la función CreateProcessViaWinAPIsW (p.ej. RuntimeBroker.exe).
2. Obtener la dirección base de la imagen del proceso remoto y luego leer los encabezados PE del proceso.
3. Obtener una dirección a una función TLS callback.
4. Parchear un shellcode fijo (p.ej. g_FixedShellcode) con valores obtenidos en tiempo de ejecución. Este shellcode es responsable de restaurar tanto los bytes originales como el permiso de memoria de la dirección de la función TLS callback.
5. Inyectar ambos shellcodes: g_FixedShellcode y el payload principal.
6. Parchear la dirección de la función TLS callback y reemplazarla con la dirección de nuestro payload inyectado.
7. Reanudar el proceso.

El shellcode g_FixedShellcode se asegurará de que el payload principal se ejecute solo una vez, restaurando la dirección original del TLS callback antes de llamar al payload principal. Un TLS callback puede ejecutarse múltiples veces durante el ciclo de vida de un proceso, por lo tanto es importante controlar el número de veces que se activa el payload restaurando la ejecución de la ruta de código original a la función TLS callback original.

Demostración

La siguiente imagen muestra nuestra implementación, RemoteTLSCallbackInjection.exe, generando un cmd.exe como su payload principal.