InjectProc

プロセスインジェクションは、コードの悪意ある動作を隠蔽するための非常に一般的な手法であり、マルウェア作成者によって頻繁に利用されています。

一般的に使用されるいくつかのテクニックがあります： DLLインジェクション、プロセス置換（別名プロセスホローイング）、フックインジェクション、APCインジェクションです。

これらのほとんどは同じWindows API関数を使用します： OpenProcess、VirtualAllocEx、WriteProcessMemory。これらの関数の詳細については、MSDNを参照してください。

DLLインジェクション：

• 対象プロセスを開く。
• メモリを確保する。
• リモートプロセスにコードを書き込む。
• リモートコードを実行する。

プロセス置換：

• 対象プロセスを作成し、中断状態にする。
• メモリからマッピングを解除する。
• メモリを確保する。
• リモートプロセスにヘッダとセクションを書き込む。
• リモートスレッドを再開する。

フックインジェクション：

• プロセスを見つける/作成する。
• フックを設定する。

注：

InjectProc は SetWindowsHookEx 関数を使用しています。フックのインストール方法としては、例えば EasyHook など、別の方法も試すことができます。

APCインジェクション：

• プロセスを開く。
• メモリを確保する。
• リモートスレッドにコードを書き込む。
• QueueUserAPCを使用してスレッドを「実行」する。

ダウンロード

Windows x64 バイナリ - x64ビットデモ

依存関係：

vc_redist.x64 - Microsoft Visual C++ 再頒布可能パッケージ

デモ

InjectProc DEMO - Process Injection Techniques

コントリビューター

• nullbites

警告

Windows 10 build 1703、64ビットで動作します。

他のシステムでテストしたり、移植可能にするための十分な時間がありません。もし時間があれば、ぜひコントリビュートしてください。

このプロジェクトは、プロセスインジェクションの仕組みをより深く理解するために自分用に作成したものであり、 初心者のマルウェアアナリストにも役立つものだと思います。