ccob/threadlessinjectIniezione di processo Threadless tramite hooking di funzioni remote.
Dal mio talk al Bsides Cymru 2023: Needles Without the Thread.
Come red teamer, ci troviamo sempre in un gioco del gatto e del topo con il blue team. Molte soluzioni antivirus e EDR negli ultimi 10 anni sono diventate significativamente più avanzate nel rilevare in modo generico l'attività di malware fileless.
L'iniezione di processi, una tecnica utilizzata per eseguire codice nello spazio degli indirizzi di un altro processo, è un metodo comune nella cassetta degli attrezzi dell'operatore offensivo. Comunemente usata per mascherare l'attività all'interno di processi legittimi come browser e client di messaggistica istantanea già in esecuzione sulla workstation target.
Negli ultimi 2 anni, strumenti come Sysmon hanno aggiunto nuovi rilevamenti ed eventi per l'iniezione di processi, insieme a grandi miglioramenti nei rilevamenti nello spazio EDR commerciale. Con questo in mente, è stato ricercato un nuovo metodo di iniezione che non incappasse nei metodi tradizionali che vengono spesso rilevati oggi.
