FalconEye : Logiciel de détection en temps réel des injections de processus Windows

FalconEye est un logiciel de détection pour terminaux Windows destiné aux injections de processus en temps réel. C'est un pilote en mode noyau qui vise à détecter les injections de processus au moment où elles se produisent (temps réel). Puisque FalconEye s'exécute en mode noyau, il offre une défense plus solide et fiable contre les techniques d'injection de processus qui tentent de contourner divers hooks en mode utilisateur.

Vous pouvez consulter notre présentation au 2021 Blackhat ASIA Arsenal et les diapositives.

Aperçu du projet

Couverture de détection

Le tableau ci-dessous présente l'état d'implémentation et la logique de détection pour les différentes techniques d'injection de processus. WPM signifie WriteProcessMemory. Pour tester la détection, on peut se référer à la section des références.

Technique	Statut	Détection	POC Utilisé
Atombombing	✓	Hooking de QueueUserAPC et recherche de la famille de fonctions GlobalGetAtom	Pinjectra
Instrumentation callback injection	✓	Détection si un nouveau thread est créé à partir d'un code flottant	https://github.com/antonioCoco/Mapping-Injection
Reflective DLL Injection	✓	Détection si un nouveau thread est créé à partir d'un code flottant et si l'en-tête PE est écrit dans la victime	MInjector
PROPagate	✓	Hooking de SetProp pour obtenir l'adresse de la propriété en cours d'écriture et corrélation avec les appels WPM précédents pour obtenir l'adresse du code flottant	Pinjectra
Process Hollowing	✓	Détecté via l'écriture de l'en-tête PE dans la mémoire du processus cible	MInjector
CreateRemoteThread with LoadLibrary	✓	Nouveau thread avec adresse de démarrage pointant vers LoadLibrary. La version MInjector écrit également le chemin de la DLL via WPM, ce qui est aussi détecté	MInjector, Pinjectra
CreateRemoteThread with MapViewOfFile	✓	Détection si un nouveau thread est créé à partir d'un code flottant	Pinjectra
Suspend-Inject-Resume	✓	Détection si un nouveau thread est créé à partir d'un code flottant (MInjector). Chemin de la DLL écrit via WPM (MInjector). Détection si le contexte est défini sur un thread précédemment suspendu (Pinjectra)	MInjector, Pinjectra
QueueUserAPC	✓	Chemin de la DLL écrit via WPM	MInjector
QueueUserAPC with memset (Stackbombing)	✓	Hooking de QueueUserAPC et recherche de memset	Pinjectra
SetWindowLong (Extra window memory injection)	✓	Hooking de SetWindowLong pour obtenir l'adresse du pointeur de fonction en cours d'écriture et corrélation avec les appels WPM précédents pour obtenir l'adresse du code flottant	Pinjectra
Unmap + Overwrite	✓	Alerte si le processus attaquant démape ntdll de la victime	Pinjectra
Kernel Ctrl Table	✓	Détection si WPM écrase le champ KernelCallbackTable dans le PEB de la victime	https://github.com/odzhan/injection/blob/master/kct

Architecture Générale

alt text

Le pilote est un pilote chargé à la demande
L'initialisation inclut la mise en place de callbacks et de hooks d'appels système via libinfinityhook
Les callbacks maintiennent une carte des Pids construite à partir d'activités inter-processus telles que OpenProcess, mais sans s'y limiter.
Les callbacks et hooks d'appels système ultérieurs utilisent cette carte de Pids pour réduire le bruit dans le traitement. Dans le cadre de la réduction du bruit, les hooks d'appels système filtrent les activités du même processus.
La logique de détection est divisée en sous-catégories : sans état (exemple : Atombombing), avec état (Unmap+Overwrite) et code flottant (shellcode de multiples techniques).
Pour les détections avec état, les hooks d'appels système enregistrent un historique d'actions (ActionHistory) implémenté comme un tampon circulaire. Par exemple, il enregistre tous les appels NtWriteVirtualMemory où le processus appelant est différent du processus cible.
La logique de détection dispose de fonctionnalités communes de détection d'anomalies telles que la détection de code flottant et la détection de déclencheurs de shellcode dans les processus distants. Les callbacks et les hooks d'appels système invoquent cette fonctionnalité commune pour la détection réelle.

NOTE : Notre objectif a été la détection et non la création d'un moteur de détection performant. Nous poursuivrons ces efforts après la présentation BlackHat.

Fichiers

.
├── src 
│   ├── FalconEye ---------------------------# FalconEye user and kernel space
│   └── libinfinityhook ---------------------# Kernel hook implementation
├── 2021BHASIA_FalconEye.pdf
└── README.md

Pour commencer

Prérequis

Windows 10 Build 1903/1909
Microsoft Visual Studio 2019 et ultérieur
Logiciel de virtualisation tel que VMWare, Hyper-V (facultatif)

Installation

Compilation

Ouvrez la solution avec Visual Studio 2019
Sélectionnez x64 comme plateforme de compilation
Compilez la solution. Cela devrait générer le binaire FalconEye.sys dans src\kernel\FalconEye\x64\Debug ou src\kernel\FalconEye\x64\Release

Configuration de la machine de test

Installez Windows 10 Build 1903/1909 dans une VM
Configurez la VM pour tester un pilote non signé

Using bcdedit, disable integrity checks : BCDEDIT /set nointegritychecks ON

Lancez DbgView de sysinternals dans la VM ou démarrez une connexion de débogage avec WinDbg.

Utilisation

Copiez FalconEye.sys sur la machine de test (VM Windows 10)
Chargez FalconEye.sys en tant que pilote chargé 'à la demande' à l'aide d'OSR Loader ou d'outils similaires
Exécutez des outils de test d'injection tels que pinjectra, minjector ou d'autres échantillons
Surveillez les journaux de débogage soit via WinDbg, soit via DbgView