InjectProc

Внедрение процессов — это очень популярный метод сокрытия вредоносного поведения кода, широко используемый авторами вредоносных программ.

Существует несколько распространённых техник: Внедрение DLL, замена процесса (также известная как process hollowing), внедрение через хуки и внедрение APC.

Большинство из них используют одни и те же функции Windows API: OpenProcess, VirtualAllocEx, WriteProcessMemory, подробную информацию об этих функциях смотрите в MSDN.

Внедрение DLL:

• Открыть целевой процесс.
• Выделить память.
• Записать код в удалённый процесс.
• Выполнить удалённый код.

Замена процесса:

• Создать целевой процесс и приостановить его.
• Выгрузить из памяти.
• Выделить память.
• Записать заголовки и секции в удалённый процесс.
• Возобновить удалённый поток.

Внедрение через хуки:

• Найти/создать процесс.
• Установить хук.

Примечание:

InjectProc использует функцию SetWindowsHookEx, вы можете попробовать другие способы установки хуков, например, EasyHook

Внедрение APC:

• Открыть процесс.
• Выделить память.
• Записать код в удалённые потоки.
• «Выполнить» потоки с помощью QueueUserAPC.

Скачать

Windows x64 binary — демо-версия для x64

Зависимости:

vc_redist.x64 — Распространяемый пакет Microsoft Visual C++

ДЕМО

InjectProc ДЕМО — Техники внедрения процессов

Участники

• nullbites

Предупреждение

Работает на Windows 10 сборки 1703, 64-бит.

У меня нет достаточно времени, чтобы протестировать другие системы и сделать его переносимым; если у вас есть время, пожалуйста, внесите свой вклад.

Я создал этот проект для себя, чтобы лучше понять, как работает внедрение процессов, и, думаю, он будет полезен многим начинающим аналитикам вредоносных программ.