Hunt-Weird-ImageLoads

यह प्रोजेक्ट Imageload इवेंट्स के कारण होने वाले विभिन्न IOCs के साथ प्रयोग करने के लिए बनाया गया है।
यह ImageLoad इवेंट्स की निगरानी के लिए ETW का उपयोग करता है और कुछ संभावित IOCs की पहचान करने के लिए callstack को ट्रेस करता है, जैसे:

• callstack में R(W)X पेज
• callstack में Stomped module
• Module proxying ( ntdll -> kernel32!LoadLibrary ) जैसा कि यहाँ या यहाँ वर्णित है
• लाइब्रेरी लोड करने के लिए समर्पित नया थ्रेड

इस रिपॉजिटरी में module proxying और dedicated threads के लिए दो सैंपल प्रोग्राम हैं।

निष्कर्ष

अपने परीक्षणों में, मुझे callstack में private या module-stomped पेजों की निगरानी करने पर बहुत सारे गलत सकारात्मक (false positives) मिले और यह संभवतः एक मान्य IOC नहीं है।
हालाँकि, ऐसा लगता है कि module proxying और dedicated threads दोनों काफी असामान्य हैं, लेकिन आप स्वयं देखें।

उपयोग

    --all activates all alerts
    --rx alerts on private rx regions in callstack
    --rwx alerts on private rwx regions in callstack
    --stomped alerts on stomped modules in callstack
    --proxy alerts on abnormal calls to kernel32!loadlibrary from ntdll
    --dedicatedthread alerts on thread with baseaddr on loadlibrary*

क्रेडिट्स

• @rad9800 RtlQueueWorkItem के माध्यम से LoadLibray के एक उदाहरण कार्यान्वयन के लिए
• @NinjaParanoid इस विषय पर एक बहुत ही शानदार ब्लॉगपोस्ट के लिए