Hunt-Weird-ImageLoads

Questo progetto è stato creato per giocare con diversi IOC causati dagli eventi ImageLoad.
Utilizza ETW per monitorare gli eventi ImageLoad e analizza lo stack di chiamate per identificare alcuni possibili IOC, come:

• Pagina R(W)X nello stack di chiamate
• Modulo stomped nello stack di chiamate
• Proxy di moduli ( ntdll -> kernel32!LoadLibrary ) come descritto qui o qui
• Nuovo thread dedicato al caricamento di una libreria

In questo repository sono presenti due programmi di esempio per il proxy di moduli e i thread dedicati.

Conclusione

Nei miei test, ho riscontrato molti falsi positivi monitorando pagine private o stomped (module stomping) nello stack di chiamate e probabilmente questo non è un IOC valido.
Tuttavia, sembra che sia il proxy di moduli che i thread dedicati siano piuttosto anomali, ma giudica tu stesso.

Utilizzo

    --all activates all alerts
    --rx alerts on private rx regions in callstack
    --rwx alerts on private rwx regions in callstack
    --stomped alerts on stomped modules in callstack
    --proxy alerts on abnormal calls to kernel32!loadlibrary from ntdll
    --dedicatedthread alerts on thread with baseaddr on loadlibrary*

Riconoscimenti

• @rad9800 Per un esempio di implementazione di LoadLibray tramite RtlQueueWorkItem
• @NinjaParanoid Per un post del blog davvero fantastico su questo argomento