FalconEye: Программное обеспечение для обнаружения внедрения процессов в реальном времени в Windows

FalconEye — это программное обеспечение для обнаружения конечных точек Windows для внедрения процессов в реальном времени. Это драйвер режима ядра, предназначенный для обнаружения внедрения процессов по мере их выполнения (в реальном времени). Поскольку FalconEye работает в режиме ядра, он обеспечивает более сильную и надежную защиту от методов внедрения процессов, которые пытаются обойти различные перехватчики пользовательского режима.

Вы можете ознакомиться с нашей презентацией на 2021 Blackhat ASIA Arsenal и слайдами.

Обзор проекта

Охват обнаружения

В таблице ниже показаны статус реализации и логика обнаружения различных методов внедрения процессов. WPM означает WriteProcessMemory. Для тестирования обнаружения можно обратиться к разделу ссылок.

Обзор архитектуры

1. Драйвер загружается по требованию.
2. Инициализация включает настройку обратных вызовов и перехватчиков системных вызовов через libinfinityhook.
3. Обратные вызовы поддерживают карту PID, построенную на основе межпроцессной активности, такой как OpenProcess, но не ограничиваясь OpenProcess.
4. Последующие обратные вызовы и перехватчики системных вызовов используют эту карту PID для уменьшения шума при обработке. В рамках снижения шума перехватчики системных вызовов фильтруют активность внутри одного процесса.
5. Логика обнаружения разделена на подкатегории: без сохранения состояния (например, Atombombing), с сохранением состояния (Unmap+Overwrite) и плавающий код (шеллкод из нескольких техник).
6. Для обнаружений с сохранением состояния перехватчики системных вызовов записывают историю действий (ActionHistory), реализованную как кольцевой буфер. Например, записываются все вызовы NtWriteVirtualMemory, где процесс-вызывающий отличается от целевого процесса.
7. Логика обнаружения содержит общую функциональность обнаружения аномалий, такую как обнаружение плавающего кода и обнаружение триггеров шеллкода в удаленных процессах. Как обратные вызовы, так и перехватчики системных вызовов вызывают эту общую функциональность для фактического обнаружения.

ПРИМЕЧАНИЕ: Наш фокус был на обнаружении, а не на создании производительного движка. Мы продолжим эти усилия после презентации на BlackHat.

Файлы

.
├── src 
│   ├── FalconEye ---------------------------# FalconEye пользовательское и ядерное пространство
│   └── libinfinityhook ---------------------# Реализация ядерных хуков
├── 2021BHASIA_FalconEye.pdf
└── README.md

Начало работы

Предварительные требования

1. Windows 10 Build 1903/1909
2. Microsoft Visual Studio 2019 и новее
3. Программное обеспечение виртуализации, такое как VMware, Hyper-V (опционально)

Установка

Сборка

1. Откройте решение в Visual Studio 2019.
2. Выберите x64 в качестве платформы сборки.
3. Соберите решение. Это должно сгенерировать бинарный файл FalconEye.sys в src\kernel\FalconEye\x64\Debug или src\kernel\FalconEye\x64\Release.

Настройка тестовой машины

1. Установите Windows 10 Build 1903/1909 в виртуальную машину.
2. Настройте ВМ для тестирования неподписанного драйвера:
   • С помощью bcdedit отключите проверки целостности: BCDEDIT /set nointegritychecks ON
3. Запустите DbgView из Sysinternals на ВМ или начните отладку с помощью WinDbg.

Использование

1. Скопируйте FalconEye.sys на тестовую машину (Windows 10 ВМ).
2. Загрузите FalconEye.sys как драйвер с загрузкой по требованию с помощью OSR Loader или аналогичных инструментов.
3. Запустите инструменты тестирования внедрения, такие как pinjectra, minjector или другие примеры.
4. Отслеживайте отладочные логи через WinDbg или DbgView.

Ссылки

InfinityHook, 2019

Itzik Kotler and Amit Klein. Process Injection Techniques - Gotta Catch Them All, Blackhat USA Briengs, 2019

Pinjectra, 2019

Mapping-Injection, 2020

Atombombing: Brand new code injection for windows, 2016

Propagate - a new code injection trick, 2017

Windows process injection: Extra window bytes, 2018

Pavel Asinovsky. Diving into zberp's unconventional process injection technique, 2016

Rotem Kerner. Ctrl-inject, 2018

Windows process injection: Consolewindowclass, 2018

Windows process injection: Windows notication facility, 2018

A paradox: Writing to another process without openning it nor actually writing to it, 2007

Windows process injection: Service control handler, 2018

Marcos Oviedo. Memhunter - Automated hunting of memory resident malware at scale. Defcon Demo Labs, 2019

Условия лицензии

FalconEye предоставляется вам по лицензии с открытым исходным кодом Apache 2.0.