Écrasement de processus

L'écrasement de processus est une technique d'injection PE, étroitement liée au Process Hollowing et au Module Overloading.

Elle permet de remplacer l'exécutable principal (pas une DLL) du processus cible.

Elle fonctionne uniquement pour un processus nouvellement créé – l'injection dans des processus existants n'est pas prise en charge par cette technique.

ATTENTION : La taille de l'image cible ne doit PAS ÊTRE INFÉRIEURE à celle de l'image de la charge utile.

Étapes suivies :

1. créer un processus suspendu à partir d'un fichier bénin (avec CFG désactivé)
2. mapper la charge utile en mémoire et l'écrire par-dessus l'image initialement mappée (sans démapper l'image originale)
3. mettre à jour le point d'entrée du processus vers celui de la charge utile
4. reprendre le processus, exécutant le PE remplacé

[!IMPORTANT]
Lire la FAQ

Démo :

La charge utile de démonstration (demo.bin) injectée dans la Calculatrice Windows (cible par défaut) :

En mémoire (via Process Hacker) :

📹 Écrasement de processus sur Windows 11 24H2 : https://youtu.be/sZ8tMwKfvXw

Clone :

Utilisez le clone récursif pour obtenir le dépôt avec tous les sous-modules :

git clone --recursive https://github.com/hasherezade/process_overwriting.git