⭕️ یکی از تکنیکهای شناخته شده و موثر جهت تزریق کد به پروسس است که شامل تزریق کد قبل از اجرای نقطه ورودی اصلی (Main Entry Point) پروسس میباشد. این تکنیک در سال 2018 توسط Cyberbit کشف شد و یکی از تکنیک های موثر در بایپس کردن EDR هاست.
مراحلی که در این پیاده سازی طی میشود :
Create a target process in suspended state (e.g. CreateProcess);
Allocate writeable memory in the target process (e.g. VirtualAllocEx);
Write malicious code to the allocated memory (e.g. WriteProcessMemory);
Queue an APC to the remote target process, the APC points to the malicious code (e.g. QueueUserAPC);
Resume the target process, upon resumption the APC is executed, running the malicious code (e.g. ResumeThread).
لینک کامل مقاله
#ProcessInjection #EDR
@Securation