Sobrescrita de Processo

Sobrescrita de Processo é uma técnica de injeção PE, intimamente relacionada ao Process Hollowing e ao Module Overloading.

Com sua ajuda, você pode substituir o executável principal (não uma DLL) do processo alvo.

Funciona apenas para um processo recém-criado - a injeção em processos existentes não é suportada por esta técnica.

AVISO: O tamanho da imagem alvo deve ser NÃO MENOR que o tamanho da imagem do payload.

Etapas realizadas:

1. cria um processo suspenso a partir de um arquivo benigno (com CFG desabilitado)
2. mapeia o payload na memória e o escreve sobre a imagem originalmente mapeada (sem desmapear a imagem original)
3. atualiza o ponto de entrada do processo para o ponto de entrada do payload
4. retoma o processo, executando o PE substituído

[!IMPORTANT]
Leia o FAQ

Demonstração:

O payload de demonstração (demo.bin) injetado no Windows Calc (alvo padrão):

Na memória (via Process Hacker):

📹 Sobrescrita de Processo no Windows 11 24H2: https://youtu.be/sZ8tMwKfvXw

Clonar:

Use clone recursivo para obter o repositório junto com todos os submódulos:

git clone --recursive https://github.com/hasherezade/process_overwriting.git