InjectProc

Injeção de processo é um método muito popular para esconder comportamento malicioso de código e é amplamente utilizado por autores de malware.

Existem várias técnicas comumente usadas: Injeção de DLL, substituição de processo (também conhecido como process hollowing), injeção de hook e injeção de APC.

A maioria delas usa as mesmas funções da API do Windows: OpenProcess, VirtualAllocEx, WriteProcessMemory; para informações detalhadas sobre essas funções, use o MSDN.

Injeção de DLL:

• Abrir o processo alvo.
• Alocar espaço.
• Escrever código no processo remoto.
• Executar o código remoto.

Substituição de processo:

• Criar o processo alvo e suspendê-lo.
• Desmapear da memória.
• Alocar espaço.
• Escrever cabeçalhos e seções no processo remoto.
• Retomar a thread remota.

Injeção de hook:

• Encontrar/Criar processo.
• Definir hook.

Nota:

InjectProc usa a função SetWindowsHookEx; você pode tentar diferentes formas de instalar hooks, por exemplo, EasyHook

Injeção de APC:

• Abrir processo.
• Alocar espaço.
• Escrever código nas threads remotas.
• "Executar" threads usando QueueUserAPC.

Download

Binário Windows x64 - DEMO x64 bits

Dependências:

vc_redist.x64 - Microsoft Visual C++ Redistributable

DEMO

InjectProc DEMO - Process Injection Techniques

Contribuidores

• nullbites

Aviso

Funciona no Windows 10 build 1703, 64 bits.

Não tenho tempo suficiente para testar outros sistemas e torná-lo portátil; se você tiver tempo, por favor contribua.

Criei este projeto para entender melhor como a injeção de processo funciona e acho que será útil também para muitos analistas de malware iniciantes.