Hunt-Weird-ImageLoads

このプロジェクトは、ImageLoad イベントによって引き起こされるさまざまな IOC を試すために作成されました。
ETW を利用して ImageLoad イベントを監視し、コールスタックを辿って、以下のような可能性のある IOC を特定します:

• コールスタック内の R(W)X ページ
• コールスタック内のストンプされたモジュール
• モジュールプロキシ（ ntdll -> kernel32!LoadLibrary ）。説明は こちら または こちら
• ライブラリをロードする専用の新しいスレッド

このリポジトリには、モジュールプロキシ と 専用スレッド の2つのサンプルプログラムがあります。

まとめ

私のテストでは、コールスタック内のプライベートページやモジュールストンプページを監視すると誤検知が多発し、これはおそらく有効な IOC ではありません。
しかし、モジュールプロキシ と 専用スレッド の両方はかなり異常であると思われます。ただし、自分自身で確認してみてください。

使用方法

    --all すべてのアラートを有効化
    --rx コールスタック内のプライベート rx 領域に対するアラート
    --rwx コールスタック内のプライベート rwx 領域に対するアラート
    --stomped コールスタック内のストンプされたモジュールに対するアラート
    --proxy ntdll から kernel32!loadlibrary への異常な呼び出しに対するアラート
    --dedicatedthread loadlibrary* にベースアドレスがあるスレッドに対するアラート

クレジット

• @rad9800 RtlQueueWorkItem を介した LoadLibrary の実装例
• @NinjaParanoid このトピックに関する非常に素晴らしいブログ記事