Maldev Academy - RemoteTLSCallbackInjection

Liens rapides

Maldev Academy Home

Maldev Academy Syllabus

Modules Maldev Academy associés

Nouveau Module 34 : Callbacks TLS pour l'anti-débogage

Nouveau Module 35 : Injection sans thread

Aperçu

Cette méthode utilise les callbacks TLS pour exécuter une charge utile sans créer de threads dans un processus distant. Cette méthode est inspirée par Threadless Injection car RemoteTLSCallbackInjection n'invoque aucun appel API pour déclencher la charge utile injectée.

Étapes d'implémentation

La preuve de concept suit ces étapes :

1. Créer un processus en suspension en utilisant la fonction CreateProcessViaWinAPIsW (par exemple RuntimeBroker.exe).
2. Récupérer l'adresse de base de l'image du processus distant, puis lire les en-têtes PE du processus.
3. Récupérer une adresse vers une fonction de callback TLS.
4. Patcher un shellcode fixe (c'est-à-dire g_FixedShellcode) avec des valeurs récupérées à l'exécution. Ce shellcode est responsable de la restauration à la fois des octets d'origine et de la permission mémoire de l'adresse de la fonction de callback TLS.
5. Injecter les deux shellcodes : g_FixedShellcode et la charge utile principale.
6. Patcher l'adresse de la fonction de callback TLS et la remplacer par l'adresse de notre charge utile injectée.
7. Reprendre le processus.

Le shellcode g_FixedShellcode veillera ensuite à ce que la charge utile principale ne s'exécute qu'une seule fois en restaurant l'adresse d'origine du callback TLS avant d'appeler la charge utile principale. Un callback TLS peut s'exécuter plusieurs fois pendant la durée de vie d'un processus, il est donc important de contrôler le nombre de fois que la charge utile est déclenchée en restaurant l'exécution du chemin de code d'origine vers la fonction de callback TLS d'origine.

Démo

L'image suivante montre notre implémentation, RemoteTLSCallbackInjection.exe, qui lance un cmd.exe comme charge utile principale.