InjectProc

La inyección de procesos es un método muy popular para ocultar el comportamiento malicioso del código y es muy utilizado por los creadores de malware.

Existen varias técnicas que se usan comúnmente: inyección de DLL, reemplazo de procesos (también conocido como process hollowing), inyección de hooks e inyección de APC.

La mayoría de ellas utilizan las mismas funciones de la API de Windows: OpenProcess, VirtualAllocEx, WriteProcessMemory; para obtener información detallada sobre estas funciones, use MSDN.

Inyección de DLL:

• Abrir el proceso objetivo.
• Asignar espacio.
• Escribir código en el proceso remoto.
• Ejecutar el código remoto.

Reemplazo de procesos:

• Crear el proceso objetivo y suspenderlo.
• Desasignar de la memoria.
• Asignar espacio.
• Escribir cabeceras y secciones en el proceso remoto.
• Reanudar el hilo remoto.

Inyección de hooks:

• Encontrar/Crear proceso.
• Establecer hook.

Nota:

InjectProc utiliza la función SetWindowsHookEx, puedes probar diferentes formas de instalar hooks, por ejemplo, EasyHook

Inyección de APC:

• Abrir proceso.
• Asignar espacio.
• Escribir código en hilos remotos.
• "Ejecutar" hilos usando QueueUserAPC.

Descarga

Binario para Windows x64 - DEMO x64 bits

Dependencias:

vc_redist.x64 - Paquete redistribuible de Microsoft Visual C++

DEMO

DEMO de InjectProc - Técnicas de inyección de procesos

Contribuyentes

• nullbites

Advertencia

Funciona en Windows 10 compilación 1703, 64 bits.

No tengo suficiente tiempo para probar otros sistemas y hacerlo portátil; si tienes tiempo suficiente, por favor contribuye.

Creé este proyecto para mí mismo para entender mejor cómo funciona la inyección de procesos y creo que también será útil para muchos analistas de malware principiantes.