十种进程注入技术介绍：常见注入技术及趋势调查
|
在图8中，Amanahe恶意软件首先调用OpenThread来获取另一个线程的句柄，然后通过LoadLibraryA调用QueueUserAPC作为函数指针，将其恶意DLL注入另一个线程。
AtomBombing是一项由enSilo研究首次引入的技术，然后用于Dridex V4。 正如我们在前一篇文章中详细讨论的那样，该技术也依赖于APC注入。 但是，它使用原子表写入另一个进程的内存。 八、通过SETWINDOWLONG进行附加窗口内存注入（EWMI） EWMI依赖于注入资源管理器托盘窗口的额外窗口内存，并且已经在Gapz和PowerLoader等恶意软件系列中应用过几次。注册窗口类时，应用程序可以指定一些额外的内存字节，称为额外窗口内存（EWM）。但是，EWM的空间不大。为了规避此限制，恶意软件将代码写入explorer.exe的共享部分，并使用SetWindowLong和SendNotifyMessage使用指向shellcode的函数指针，然后执行它。 在写入共享部分时，恶意软件有两种选择。它既可以创建共享空间，也可以将其映射到自身和另一个进程（例如explorer.exe），也可以只打开已存在的共享空间。除了一些其他API调用之外，前者还有分配堆空间和调用NTMapViewOfSection的开销，因此后一种方法更常用。在恶意软件将其shellcode写入共享部分后，它使用GetWindowLong和SetWindowLong来访问和修改“Shell_TrayWnd”的额外窗口内存。GetWindowLong是一个API，用于将指定偏移量的32位值检索到窗口类对象的额外窗口内存中，SetWindowLong用于更改指定偏移量的值。这样一来，恶意软件可以简单地更改窗口类中的函数指针的偏移量，并将其指向写入共享部分的shellcode。 与上面提到的大多数其他技术一样，恶意软件需要触发它特制的代码。在先前讨论的技术中，恶意软件通过调用诸如CreateRemoteThread，QueueUserAPC或SetThreadContext之类的API来实现此目的。使用此方法，恶意软件会通过调用SendNotifyMessage来触发注入的代码。执行SendNotifyMessage后，Shell_TrayWnd接收控制并将控制转移到之前由SetWindowLong设置的值指向的地址。在图9中，名为PowerLoader的恶意软件使用此技术。
九、SHIMS注入 Microsoft向开发人员提供SHIMS主要是为了向后兼容。SHIMS允许开发人员将修补程序应用于他们的程序，而无需重写代码。通过利用SHIMS，开发人员可以告诉操作系统如何处理应用程序。SHIMS本质上是一种挂钩API并定位特定可执行文件的方法。恶意软件可以利用SHIMS来定位持久性和注入的可执行文件。Windows在加载二进制文件时运行Shim Engine以检查SHIMS数据库以应用适当的修复程序。 现在有许多方法应用修复程序，但恶意软件的最爱是与安全相关的（例如，DisableNX，DisableSEH，InjectDLL等）。要安装填充数据库，恶意软件可以部署各种方法。例如，一种常见的方法是简单地执行sdbinst.exe，并将其指向恶意sdb文件。在图10中，广告软件“按导管搜索保护”使用垫片进行持久性和注入。它在Google Chrome中执行“InjectDLL”填充程序以加载vc32loader.dll。有一些用于分析sdb文件的现有工具，但是为了分析下面列出的sdb，我使用了python-sdb。
十、IAT HOOKING和INLINE HOOKING (或者叫应用层ROOTKITS) IAT hooking和inline hooking通常称为userland rootkit。IAT hooking是恶意软件用于更改导入地址表的技术。当合法应用程序调用位于DLL中的API时，其会执行替换的函数，而不是原始函数。相反，使用inline hooking，恶意软件则会修改API函数本身。在图11中，恶意软件FinFisher通过修改CreateWindowEx指向的位置来执行IAT hooking。
总结 在这篇文章中，我介绍了恶意软件用于在另一个进程中隐藏其活动的十种不同技术。通常，恶意软件会直接将其shellcode注入另一个进程，或者强制另一个进程加载其恶意库。在表1中，我对各种技术进行了分类，并提供了样本作为阅读本文所涵盖的每种注入技术的参考。
【编辑推荐】
点赞 0 （编辑：好传媒网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
