InjectProc

프로세스 인젝션은 코드의 악성 동작을 숨기기 위한 매우 인기 있는 방법이며, 맬웨어 작성자에 의해 널리 사용됩니다.

일반적으로 사용되는 몇 가지 기법이 있습니다: DLL injection, process replacement(일명 process hollowing), hook injection 및 APC injection.

대부분의 기법은 동일한 Windows API 함수를 사용합니다: OpenProcess, VirtualAllocEx, WriteProcessMemory, 해당 함수에 대한 자세한 정보는 MSDN을 참조하세요.

DLL injection:

• 대상 프로세스를 엽니다.
• 메모리 공간을 할당합니다.
• 원격 프로세스에 코드를 씁니다.
• 원격 코드를 실행합니다.

Process replacement:

• 대상 프로세스를 생성하고 일시 중단합니다.
• 메모리에서 언매핑합니다.
• 메모리 공간을 할당합니다.
• 원격 프로세스에 헤더와 섹션을 씁니다.
• 원격 스레드를 재개합니다.

Hook injection:

• 프로세스를 찾거나 생성합니다.
• 훅을 설정합니다.

Note:

InjectProc는 SetWindowsHookEx 함수를 사용하며, 다양한 방식으로 훅을 설치할 수 있습니다. 예를 들어, EasyHook을 참조하세요.

APC injection:

• 프로세스를 엽니다.
• 메모리 공간을 할당합니다.
• 원격 스레드에 코드를 씁니다.
• QueueUserAPC를 사용하여 스레드를 "실행"합니다.

Download

Windows x64 바이너리 - x64 비트 데모

Dependencies:

vc_redist.x64 - Microsoft Visual C++ Redistributable

DEMO

InjectProc 데모 - 프로세스 인젝션 기법

Contributors

• nullbites

Warning

Windows 10 빌드 1703, 64비트에서 작동합니다. 다른 시스템을 테스트하고 이식성을 확보할 시간이 충분하지 않습니다. 시간이 있다면 기여해 주세요. 이 프로젝트는 제가 프로세스 인젝션이 어떻게 작동하는지 더 잘 이해하기 위해 만들었으며, 초보 맬웨어 분석가에게도 도움이 될 것이라고 생각합니다.