InjectProc

L'iniezione di processi è un metodo molto popolare per nascondere il comportamento dannoso del codice ed è ampiamente utilizzato dagli autori di malware.

Esistono diverse tecniche comunemente utilizzate: DLL injection, process replacement (noto anche come process hollowing), hook injection e APC injection.

La maggior parte di esse utilizza le stesse funzioni API di Windows: OpenProcess, VirtualAllocEx, WriteProcessMemory; per informazioni dettagliate su queste funzioni, usare MSDN.

DLL injection:

• Aprire il processo target.
• Allocare spazio.
• Scrivere codice nel processo remoto.
• Eseguire il codice remoto.

Process replacement:

• Creare il processo target e sospenderlo.
• Smappare dalla memoria.
• Allocare spazio.
• Scrivere intestazioni e sezioni nel processo remoto.
• Riprendere il thread remoto.

Hook injection:

• Trovare/Creare un processo.
• Impostare l'hook.

Nota:

InjectProc utilizza la funzione SetWindowsHookEx, puoi provare diversi modi per installare gli hook, ad esempio EasyHook

APC injection:

• Aprire un processo.
• Allocare spazio.
• Scrivere codice nei thread remoti.
• "Eseguire" i thread usando QueueUserAPC.

Download

Binario Windows x64 - DEMO x64 bit

Dipendenze:

vc_redist.x64 - Microsoft Visual C++ Redistributable

DEMO

InjectProc DEMO - Tecniche di Iniezione di Processi

Contributori

• nullbites

Avvertimento

Funziona su Windows 10 build 1703, 64 bit.

Non ho abbastanza tempo per testare altri sistemi e renderlo portatile; se hai abbastanza tempo, per favore contribuisci.

Ho creato questo progetto per capire meglio come funziona l'iniezione di processi e penso che sarà utile anche per molti analisti malware principianti.