InjectProc

L'injection de processus est une méthode très populaire pour cacher le comportement malveillant du code et est largement utilisée par les auteurs de logiciels malveillants.

Il existe plusieurs techniques couramment utilisées : l'injection DLL, le remplacement de processus (également appelé process hollowing), l'injection de hooks et l'injection APC.

La plupart d'entre elles utilisent les mêmes fonctions de l'API Windows : OpenProcess, VirtualAllocEx, WriteProcessMemory. Pour des informations détaillées sur ces fonctions, utilisez MSDN.

DLL injection :

• Ouvrir le processus cible.
• Allouer de l'espace.
• Écrire le code dans le processus distant.
• Exécuter le code distant.

Process replacement :

• Créer le processus cible et le suspendre.
• Désallouer de la mémoire.
• Allouer de l'espace.
• Écrire les en-têtes et les sections dans le processus distant.
• Reprendre le thread distant.

Hook injection :

• Trouver/Créer un processus.
• Définir un hook.

Note :

InjectProc utilise la fonction SetWindowsHookEx, vous pouvez essayer différentes méthodes pour installer des hooks, par exemple, EasyHook

APC injection :

• Ouvrir le processus.
• Allouer de l'espace.
• Écrire le code dans les threads distants.
• "Exécuter" les threads en utilisant QueueUserAPC.

Téléchargement

Binaire Windows x64 - DÉMO x64 bits

Dépendances :

vc_redist.x64 - Redistribuable Microsoft Visual C++

DÉMO

InjectProc DEMO - Techniques d'injection de processus

Contributeurs

• nullbites

Avertissement

Fonctionne sur Windows 10 build 1703, 64 bits.

Je n'ai pas assez de temps pour tester d'autres systèmes et le rendre portable. Si vous avez assez de temps, veuillez contribuer.

J'ai créé ce projet pour mieux comprendre comment fonctionne l'injection de processus et je pense qu'il sera également utile pour de nombreux analystes de logiciels malveillants débutants.