FalconEye: Software de detecção em tempo real para injeções de processos no Windows

FalconEye é um software de detecção de endpoint do Windows para injeções de processos em tempo real. É um driver em modo kernel que visa capturar injeções de processos conforme elas acontecem (tempo real). Como o FalconEye é executado em modo kernel, ele fornece uma defesa mais forte e confiável contra técnicas de injeção de processo que tentam evadir vários hooks em modo de usuário.

Você pode conferir nossa apresentação no 2021 Blackhat ASIA Arsenal e slides.

Visão Geral do Projeto

Cobertura de Detecção

A tabela abaixo mostra o status de implementação e a lógica de detecção para as várias técnicas de injeção de processo. WPM significa WriteProcessMemory. Para testar a detecção, consulte a seção de referências.

Technique	Status	Detection	POC Used
Atombombing	✓	Hook do QueueUserAPC e procura pela família de funções GlobalGetAtom	Pinjectra
Instrumentation callback injection	✓	Detecta se uma nova thread é criada a partir de código flutuante	https://github.com/antonioCoco/Mapping-Injection
Reflective DLL Injection	✓	Detecta se uma nova thread é criada a partir de código flutuante e se o cabeçalho PE está sendo escrito na vítima	MInjector
PROPagate	✓	Hook do SetProp para obter o endereço da propriedade que está sendo escrita e correlacionar com as chamadas WPM anteriores para obter o endereço do código flutuante	Pinjectra
Process Hollowing	✓	Detectado usando cabeçalho PE escrito na memória do processo alvo	MInjector
CreateRemoteThread with LoadLibrary	✓	Nova thread com endereço inicial apontando para LoadLibrary. A versão do MInjector também escreve o caminho da DLL usando WPM, que também é detectado	MInjector, Pinjectra
CreateRemoteThread with MapViewOfFile	✓	Detecta se uma nova thread é criada a partir de código flutuante	Pinjectra
Suspend-Inject-Resume	✓	Detecta se uma nova thread é criada a partir de código flutuante(MInjector). Caminho da DLL sendo escrito via WPM (MInjector). Detecta se o contexto foi definido em uma thread previamente suspensa (Pinjectra)	MInjector, Pinjectra
QueueUserAPC	✓	Caminho da DLL sendo escrito via WPM	MInjector
QueueUserAPC com memset (Stackbombing)	✓	Hook do QueueUserAPC e procura por memset	Pinjectra
SetWindowLong (Injeção de memória extra de janela)	✓	Hook do SetWindowLong para obter o endereço do ponteiro de função sendo escrito e correlacionar com as chamadas WPM anteriores para obter o endereço do código flutuante	Pinjectra
Unmap + Overwrite	✓	Alerta se o processo atacante está desmapeando ntdll da vítima	Pinjectra
Kernel Ctrl Table	✓	Detecta se WPM está sobrescrevendo o campo KernelCallbackTable no PEB da vítima	https://github.com/odzhan/injection/blob/master/kct

Visão Geral da Arquitetura

alt text

O driver é um driver carregado sob demanda
A inicialização inclui configurar callbacks e hooks de syscall via libinfinityhook
Os callbacks mantêm um mapa de PIDs construído a partir de atividade entre processos, como OpenProcess, mas não se limita a OpenProcess
Os callbacks subsequentes e hooks de syscall usam este mapa de PID para reduzir o ruído no processamento. Como parte da redução de ruído, os hooks de syscall filtram a atividade do mesmo processo.
A lógica de detecção é dividida em subcategorias: stateless (exemplo: Atombombing), stateful (Unmap+Overwrite) e código flutuante (shellcode de múltiplas técnicas)
Para detecções stateful, os hooks de syscall registram um ActionHistory que é implementado como um buffer circular. Por exemplo, registra todas as chamadas NtWriteVirtualMemory onde o processo chamador é diferente do processo alvo.
A lógica de detecção possui funcionalidade comum de detecção de anomalias, como detecção de código flutuante e detecção de acionadores de shellcode em processos remotos. Tanto os callbacks quanto os hooks de syscall invocam essa funcionalidade comum para a detecção real.

NOTA: Nosso foco tem sido a detecção e não a criação de um mecanismo de detecção com desempenho. Continuaremos esses esforços após a apresentação no BlackHat.

Arquivos

.
├── src 
│   ├── FalconEye ---------------------------# FalconEye user and kernel space
│   └── libinfinityhook ---------------------# Kernel hook implementation
├── 2021BHASIA_FalconEye.pdf
└── README.md

Primeiros Passos

Pré-requisitos

Windows 10 Build 1903/1909
Microsoft Visual Studio 2019 em diante
Software de virtualização como VmWare, Hyper-V (Opcional)

Instalação

Compilação

Abra a solução com o Visual Studio 2019
Selecione x64 como plataforma de compilação
Compile a solução. Isso deve gerar o binário FalconEye.sys em src\kernel\FalconEye\x64\Debug ou src\kernel\FalconEye\x64\Release

Configuração da Máquina de Teste

Instale o Windows 10 Build 1903/1909 em uma VM
Configure a VM para testar driver não assinado

Usando bcdedit, desabilite as verificações de integridade: BCDEDIT /set nointegritychecks ON

Execute o DbgView do Sysinternals na VM ou inicie uma conexão de depuração usando o WinDbg.

Uso

Copie o FalconEye.sys para a Máquina de Teste (VM Windows 10)
Carregue o FalconEye.sys como um driver de carregamento 'On Demand' usando OSR Loader ou ferramentas similares
Execute ferramentas de teste de injeção como pinjectra, minjector ou outras amostras
Monitore os logs de depuração via WinDbg ou DbgView