Maldev Academy - RemoteTLSCallbackInjection

クイックリンク

Maldev Academy ホーム

Maldev Academy シラバス

関連する Maldev Academy モジュール

新しいモジュール 34: TLS コールバックによるアンチデバッグ

新しいモジュール 35: Threadless Injection

概要

この手法は、TLS コールバックを利用して、リモートプロセス内でスレッドを生成せずにペイロードを実行します。この手法は Threadless Injection に着想を得ており、RemoteTLSCallbackInjection は注入されたペイロードをトリガーするために API 呼び出しを一切行いません。

実装手順

PoC は以下の手順に従います：

1. CreateProcessViaWinAPIsW 関数（例：RuntimeBroker.exe）を使用して、中断状態のプロセスを作成します。
2. リモートプロセスのイメージベースアドレスを取得し、続いてプロセスの PE ヘッダーを読み取ります。
3. TLS コールバック関数のアドレスを取得します。
4. 実行時に取得した値で固定シェルコード（すなわち g_FixedShellcode）をパッチします。このシェルコードは、TLS コールバック関数のアドレスの元のバイトとメモリ権限の両方を復元する役割を担います。
5. 両方のシェルコード（ g_FixedShellcode とメインペイロード）を注入します。
6. TLS コールバック関数のアドレスをパッチし、注入したペイロードのアドレスで置き換えます。
7. プロセスを再開します。

その後、g_FixedShellcode シェルコードは、メインペイロードを呼び出す前に元の TLS コールバックのアドレスを復元することで、メインペイロードが一度だけ実行されるようにします。TLS コールバックはプロセスの存続期間中に複数回実行される可能性があるため、元のコードパスの実行を元の TLS コールバック関数に復元することで、ペイロードがトリガーされる回数を制御することが重要です。

デモ

次の画像は、私たちの実装である RemoteTLSCallbackInjection.exe がメインペイロードとして cmd.exe を起動している様子を示しています。