ccob/threadlessinjectरिमोट फ़ंक्शन हुकिंग का उपयोग करके थ्रेडलेस प्रोसेस इंजेक्शन।
मेरी Bsides Cymru 2023 वार्ता से: धागे के बिना सुइयाँ।
रेड टीम के सदस्यों के रूप में, हम खुद को हमेशा ब्लू टीम के साथ बिल्ली-चूहे वाले खेल में पाते हैं। पिछले 10 वर्षों में कई एंटी-वायरस और EDR समाधान फाइललेस मालवेयर गतिविधि का सामान्य तरीके से पता लगाने में काफी अधिक उन्नत हो गए हैं।
प्रोसेस इंजेक्शन, एक तकनीक जिसका उपयोग किसी अन्य प्रक्रिया के एड्रेस स्पेस के भीतर से कोड निष्पादित करने के लिए किया जाता है, आक्रामक ऑपरेटर के टूलबॉक्स में एक सामान्य तरीका है। आमतौर पर इसका उपयोग लक्षित वर्कस्टेशन पर पहले से चल रहे ब्राउज़र और इंस्टेंट मैसेजिंग क्लाइंट जैसी वैध प्रक्रियाओं के भीतर गतिविधि को छिपाने के लिए किया जाता है।
पिछले 2 वर्षों के भीतर, Sysmon जैसे टूल्स ने प्रोसेस इंजेक्शन के लिए नई डिटेक्शन और इवेंट जोड़े हैं, साथ ही कमर्शियल EDR क्षेत्र में डिटेक्शन में बड़े सुधार भी किए हैं। इसे ध्यान में रखते हुए, इंजेक्शन की एक नई विधि पर शोध किया गया जो आज अक्सर पहचाने जाने वाले पारंपरिक तरीकों के जाल में नहीं फँसेगी।
