⭕️ یک روش جالب با استفاده از سوء استفاده از API Fork ویندوز وجود دارد که با شناسایی نقطه ای از حافظه مربوط به یک پروسه در حال اجرا با دسترسی RWX، بدون نیاز به فراخوانی VirtualProtect، VirtualAllocEx و VirtualAlloc، می‌تواند به اجرای ShellCode بپردازد. به عنوان یک مثال، این روش را می‌توان بر روی پروسه OneDrive.exe اعمال کرد.:

Find the OneDrive.exe in running processes.
Get the handle of OneDrive.exe.
Query remote process memory information.
look for RWX memory regions.
Write shellcode into found region of OneDrive.exe
Fork OneDrive.exe into a new process.
Set the forked process's start address to the cloned shellcode.
Terminate the cloned process after execution.

#RedTeam #Evasion
@securation