Hunt-Weird-ImageLoads

This project was created to play with different IOCs caused by ImageLoad events.
It leverages ETW to monitor for ImageLoad events and walks the callstack to identify some possible IOCs, such as:

• R(W)X page in callstack
• Stomped module in callstack
• Module proxying ( ntdll -> kernel32!LoadLibrary ) as described here or here
• New thread dedicated to load a library

There are two sample programs for module proxying and dedicated threads in this repository.

결론

제 테스트에서는 콜스택에서 프라이빗(private) 또는 모듈 스톰프(module stomped) 페이지를 모니터링할 때 거짓 양성(false positive)이 많이 발생했으며, 이는 아마 유효한 IOC가 아닐 수 있습니다.
그러나 모듈 프록시와 전용 스레드는 둘 다 상당히 비정상적으로 보입니다. 직접 확인해 보세요.

사용법

    --all activates all alerts
    --rx alerts on private rx regions in callstack
    --rwx alerts on private rwx regions in callstack
    --stomped alerts on stomped modules in callstack
    --proxy alerts on abnormal calls to kernel32!loadlibrary from ntdll
    --dedicatedthread alerts on thread with baseaddr on loadlibrary*

크레딧

• @rad9800 RtlQueueWorkItem을 통한 LoadLibray 구현 예제
• @NinjaParanoid 이 주제에 대한 아주 멋진 블로그 게시물