Hunt-Weird-ImageLoads

Este projeto foi criado para brincar com diferentes IOCs causados por eventos de ImageLoad.
Ele utiliza ETW para monitorar eventos de ImageLoad e percorre a pilha de chamadas para identificar alguns possíveis IOCs, como:

• Página R(W)X na pilha de chamadas
• Módulo stomped na pilha de chamadas
• Proxying de módulos ( ntdll -> kernel32!LoadLibrary ) como descrito aqui ou aqui
• Nova thread dedicada a carregar uma biblioteca

Há dois programas de exemplo para proxying de módulos e threads dedicadas neste repositório.

Conclusão

Nos meus testes, tive muitos falsos positivos ao monitorar páginas privadas ou de módulos stomped na pilha de chamadas, e isso provavelmente não é um IOC válido.
No entanto, parece que tanto proxying de módulos quanto threads dedicadas são bastante anormais, mas veja por si mesmo.

Uso

    --all activates all alerts
    --rx alerts on private rx regions in callstack
    --rwx alerts on private rwx regions in callstack
    --stomped alerts on stomped modules in callstack
    --proxy alerts on abnormal calls to kernel32!loadlibrary from ntdll
    --dedicatedthread alerts on thread with baseaddr on loadlibrary*

Créditos

• @rad9800 Para um exemplo de implementação de LoadLibray via RtlQueueWorkItem
• @NinjaParanoid Para um post de blog super legal sobre este tópico