theflink/hunt-weird-imageloadsНебольшая утилита для работы с IOCs, вызываемыми событиями Imageload.
Этот проект создан для изучения различных IOC, вызываемых событиями Imageload.
Он использует ETW для мониторинга событий ImageLoad и анализирует стек вызовов для выявления возможных IOC, таких как:
В этом репозитории есть две примерные программы для проксирования модулей и выделенных потоков.
В моих тестах было много ложных срабатываний при мониторинге приватных или затёртых страниц модулей в стеке вызовов, и это, вероятно, не является достоверным IOC.
Однако похоже, что и проксирование модулей, и выделенные потоки выглядят довольно аномально, но судите сами.
--all activates all alerts
--rx alerts on private rx regions in callstack
--rwx alerts on private rwx regions in callstack
--stomped alerts on stomped modules in callstack
--proxy alerts on abnormal calls to kernel32!loadlibrary from ntdll
--dedicatedthread alerts on thread with baseaddr on loadlibrary*