FalconEye: Windows进程注入实时检测软件

FalconEye是一款针对Windows端点的实时进程注入检测软件。它是一个内核模式驱动程序，旨在实时捕获进程注入（实时进行）。由于FalconEye运行在内核模式下，它针对试图逃避各种用户模式挂钩的进程注入技术提供了更强且可靠的防御。

您可以查看我们在2021 Blackhat ASIA Arsenal上的演示以及幻灯片。

项目概览

检测覆盖范围

下表展示了各类进程注入技术的实现状态和检测逻辑。WPM代表WriteProcessMemory。如需测试检测功能，可参考参考文献部分。

技术	状态	检测逻辑	使用的POC
Atombombing	✓	挂钩QueueUserAPC并查找GlobalGetAtom系列函数	Pinjectra
Instrumentation callback injection	✓	检测新线程是否从浮动代码中创建	https://github.com/antonioCoco/Mapping-Injection
Reflective DLL Injection	✓	检测新线程是否从浮动代码中创建，以及PE头是否正被写入目标进程	MInjector
PROPagate	✓	挂钩SetProp以获取正在写入的属性的地址，并与之前的WPM调用关联以获取浮动代码的地址	Pinjectra
Process Hollowing	✓	通过检测PE头被写入目标进程内存来发现	MInjector
CreateRemoteThread with LoadLibrary	✓	新线程的起始地址指向LoadLibrary。MInjector版本还会使用WPM写入DLL路径，该操作也会被检测	MInjector, Pinjectra
CreateRemoteThread with MapViewOfFile	✓	检测新线程是否从浮动代码中创建	Pinjectra
Suspend-Inject-Resume	✓	检测新线程是否从浮动代码中创建（MInjector）。通过WPM写入DLL路径（MInjector）。检测先前挂起的线程上是否设置了上下文（Pinjectra）	MInjector, Pinjectra
QueueUserAPC	✓	通过WPM写入DLL路径	MInjector
QueueUserAPC with memset (Stackbombing)	✓	挂钩QueueUserAPC并查找memset	Pinjectra
SetWindowLong (Extra window memory injection)	✓	挂钩SetWindowLong以获取正在写入的函数指针的地址，并与之前的WPM调用关联以获取浮动代码的地址	Pinjectra
Unmap + Overwrite	✓	若攻击者进程正在从目标进程中取消映射ntdll，则发出警报	Pinjectra
Kernel Ctrl Table	✓	检测WPM是否正在覆盖目标PEB中的KernelCallbackTable字段	https://github.com/odzhan/injection/blob/master/kct
USERDATA	✓	检查WPM目标地址是否在conhost.exe范围内。如果是，则检查conhost中相关的函数指针是否与先前存储的WPM地址匹配	https://github.com/odzhan/injection/blob/master/conhost
Ctrl-inject	✓	检测攻击者是否在目标的KernelBase.dll范围内执行WPM	Pinjectra
ALPC Callback	✓	在NtConnectPort调用中提取目标进程ID以连接ALPC端口。对于攻击者-目标进程ID元组，检查之前的WPM调用并应用浮动代码检测	Pinjectra
WNF Callback

架构概览

alt text

该驱动程序是按需加载的驱动程序。
初始化包括通过libinfinityhook设置回调和系统调用挂钩。
回调维护一个由跨进程活动（如OpenProcess，但不限于OpenProcess）构建的进程ID映射。
后续的回调和系统调用挂钩使用此进程ID映射以减少处理中的噪声。作为降噪的一部分，系统调用挂钩会过滤掉同一进程的活动。
检测逻辑分为子类别：无状态（例如Atombombing）、有状态（Unmap+Overwrite）和浮动代码（来自多种技术的Shellcode）。
对于有状态检测，系统调用挂钩记录了ActionHistory，该历史记录实现为环形缓冲区。例如，它记录了所有调用者进程与目标进程不同的NtWriteVirtualMemory调用。
检测逻辑具有通用的异常检测功能，例如浮动代码检测和远程进程中shellcode触发器的检测。回调和系统调用挂钩都调用此通用功能进行实际检测。

注意：我们的重点是检测，而非创建一个高性能的检测引擎。我们将在BlackHat演示之后继续这些努力。

文件

.
├── src 
│   ├── FalconEye ---------------------------# FalconEye用户和内核空间
│   └── libinfinityhook ---------------------# 内核挂钩实现
├── 2021BHASIA_FalconEye.pdf
└── README.md