marcosd4h/memhunterCaza en vivo de técnicas de inyección de código
Caza automatizada de malware residente en memoria a escala
Este proyecto está EN DESARROLLO. Espere cambios de funcionalidad y lanzamientos binarios en las próximas semanas.
Memhunter es una herramienta de sensor de endpoint especializada en detectar malware residente, mejorando el proceso de análisis del cazador de amenazas y los tiempos de corrección. La herramienta detecta e informa sobre malware residente en memoria que vive en procesos de endpoint. Memhunter detecta técnicas conocidas de inyección maliciosa de memoria. El proceso de detección se realiza mediante análisis en vivo y sin necesidad de volcados de memoria. La herramienta fue diseñada como un reemplazo de los plugins de memoria forense de Volatility como malfind y hollowfind. La idea de no requerir volcados de memoria ayuda a realizar la caza de amenazas de malware residente en memoria a escala, sin análisis manual y sin la infraestructura compleja necesaria para mover volcados a entornos forenses.
El proceso de detección se realiza mediante una combinación de recopilación de datos de endpoint y escáneres de inspección de memoria. La herramienta es un binario independiente que, al ejecutarse, se despliega como un servicio de Windows. Una vez ejecutándose como servicio, memhunter comienza la recopilación de eventos ETW que podrían indicar ataques de inyección de código. El flujo en vivo de eventos de datos recopilados se alimenta a los escáneres de inspección de memoria que utilizan heurísticas de detección para seleccionar los posibles ataques. Todo el proceso de detección no requiere intervención humana, ni volcados de memoria, y puede ser realizado por la propia herramienta a escala.
Además de la recopilación de datos y las heurísticas de caza, el proyecto también ha llevado a la creación de una herramienta complementaria llamada "minjector" que contiene más de 15 técnicas de inyección de código. La herramienta minjector no solo se puede usar para ejercitar las detecciones de memhunter, sino también como un lugar único para aprender sobre las conocidas técnicas de inyección de código que existen.
Presentación de arquitectura disponible aquí
