Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法-安全性-php.cn

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

王林

リリース： 2019-11-26 10:02:21

転載

3586 人が閲覧しました

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

Mitre ATT&CK マトリックスには、クラシックプロセスインジェクション、プロセスホロイング、および プロセスドッペルゲンジングという 3 つのプロセスインジェクション手法があります。

プロセスインジェクションを使用するマルウェアの主な目的は、通常、ウイルス対策ソフトウェアによる検出を回避するか、権限昇格操作を実行することです。ここでは、主に最初の 3 つの方法について詳しく説明します。

1: 古典的なプロセスインジェクション (DLL インジェクション)

これは最も古典的な方法であり、プロセスも非常にシンプルかつ明確です:

OpenProcess -> VirtualAllocEx -> WriteProcessMemory -> CreateRemoteThread

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

#2: プロセス空洞化

##これは非常に古いメソッドであり、一般的に中国語では「操り人形プロセスの作成」と訳されます。このメソッドを使用して作成されたプロセスは、IE などの合法的なプロセスに偽装することができ、そのアイコンリソースと説明は、プロセスハッカーを使用して表示できます。メモリ、デジタル署名はすべて IE 値です。これは、緊急対応者が調査中に発見するのが難しい場合があります。

このメソッドを簡潔な言葉で要約します。つまり、悪意のあるプロセスは、まず一時停止状態のプロセスを作成し、次に元のメモリマッピングをキャンセルして、事前に準備された悪意のあるコードに置き換えてから、そのプロセスに対して操作を実行します。変更されたイメージファイル。リダイレクト後にプロセスの実行状態を復元します。

実装アイデア:

1. CreateProcess を通じてターゲットプロセスを作成し、パラメーター CREATE_SUSPENDED を渡してプロセスを一時停止します

1 (2).jpg

2 . NtQueryProcessInformation を通じて、対象プロセスのメモリ内のイメージファイルのベースアドレスを取得します。 (PEB ブロックデータ構造)

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

3. NtUnmapViewOfSection を通じてターゲットプロセスのメモリデータ (セクション) をクリアします。入力パラメータは、プロセスハンドルとプロセスのベースアドレスです。イメージファイル

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

4. VirtualAllocEx を通じて新しいメモリを申請します (開始アドレスは前のイメージファイルのベースアドレス、サイズはイメージファイルのサイズです) payload)

5. WriteProcessMemory

6 を通じてペイロードをメモリに書き込み、メモリに書き込まれたペイロードのベースアドレスをリダイレクトします

7、 GetThreadContext を介してターゲットスレッドを取得し、コンテキストの eax レジスタを修正してコードエントリポイントを修正します

8。SetThreadContext

9 を介してエントリポイントを設定します。ResumeThread を介してプロセスを起動し、ペイロードを実行します

対立アイデア:

実装からステップ 1、4、5、6、7、8、および 9 は、プロセスを作成して注入する従来の方法であることがわかります。それは自分自身です。ステップ 2 と 3 だけが特別です。フックキー機能など従来の検出方法で検出可能です。

3: プロセスドッペルゲンギング

これは、2017 年のヨーロッパブラックハットカンファレンスで最初に提案された、比較的新しい注入方法です。この手法は、プロセスホローイングと原理も性能も似ており、プロセスドッペルゲンギングで作成されたプロセスをプロセスハッカーでメモリ上に表示すると、そのアイコンリソース、説明、デジタル署名はすべて指定されたターゲットプログラムになります。

この方法は、Windows トランザクション (TxF) の特性を利用し、悪意のあるファイルを使用してトランザクション内の正当なファイルを上書きします。この時点では、トランザクションは送信されません (つまり、上書きは行われません)。ディスク)、次にセクション (現在のトランザクションのコピー)。セクションハンドルを取得した後、トランザクションはロールバックされ、悪意のあるファイルがディスク上の正当なファイルを実際に上書きするのを防ぎます。その後、メモリ内のセクションのハンドルを使用してプロセスが作成されます。作成されたプロセスには、合法的な実行可能ファイルに関する情報が含まれています。

ご覧のとおり、トランザクションでファイルを上書きする必要があるため、このメソッドでは対象ファイルに対する書き込み権限が必要です。

実装アイデア:

1. TxF トランザクションオブジェクト (NtCreateTransaction) を作成します

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

#2. トランザクション API を使用して正当な実行可能ファイルを開きます。つまり、ファイルをトランザクションオブジェクトに追加します (CreateFileTransacted)

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

3. 悪意のあるファイルを開き、そのファイルにメモリ領域を割り当てます (CreateFile、GetFileSizeEx -> NtAllocateVirtualMemory -> ; ReadFile)

4. トランザクション内の正規の実行可能ファイルをメモリ内の悪意のあるファイルで上書きします (WriteFile)

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

5. のセクションを作成します。現在のトランザクション (NtCreateSection)

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

6. トランザクションをロールバックし、上書きされたばかりのファイルを正当な実行可能ファイル (NtRollbackTransaction) に復元します

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

7. メモリ内のセクションを使用してプロセスを作成しますオブジェクト (NtCreateProcessEx )

Mitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法

8. 悪意のあるファイルのエントリポイントを取得し、プロセスパラメーターブロックを作成し、そのプロセスブロックをプロセスメモリに書き込みます (NtQueryInformationProcess -> ; RtlInitUnicodeString -> RtlCreateProcessParametersEx)

9. PEB 内のプロセスパラメーターブロックを更新し、対象のプロセスオブジェクトのスレッドを作成し、悪意のあるコードを実行します (NtCreateThreadEx)

対策:

手順よりフックこの手法は、主要な関数 (NtCreateThreadEx など) を判断することで検出できます。

要約

上記 3 つの手法の進化から、いくつかの傾向がわかります。

第一点は、メモリの隠蔽能力がますます強くなっているということで、当初は全く隠蔽していなかったものが、今では法的プログラムに沿ってメモリ上で動作するようになりました。

2 番目のポイントは、ペイロードがメモリに解放される手段の検出がますます困難になっているということです。当初、ペイロードはメモリに直接コピーされていました。現在、攻撃者はいくつかの機能 (TxF など) を使用できるようになりました。 ) リリースプロセスをさらに隠蔽します。

3点目は、最終段階の主要な関数はほとんど変更がなく、ペイロードの解放がどんどん隠蔽されていく場合でも、メモリ上に解放されて実行が呼び出されることになります。限られた数の主要な関数をフックすることで、最終的なペイロードをダンプする必要があります。

その他の関連チュートリアルの推奨事項: Web サーバーのセキュリティ

以上がMitre ATT&CK マトリックスの 3 つのプロセスインジェクション手法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。