Process Injection ist eine Technik, bei der Schadcode im Adressraum eines anderen, meist legitimen Prozesses ausgeführt wird, um die eigenen Aktivitäten zu verbergen und die Rechte dieses Prozesses zu übernehmen.
Wie Process Injection funktioniert
Unter Windows ist der klassische Ablauf einfach: Der Angreifer öffnet ein Handle auf den Zielprozess, reserviert dort Speicher (VirtualAllocEx), schreibt Code hinein (WriteProcessMemory) und startet ihn mit CreateRemoteThread. MITRE ATT&CK führt die Technik als T1055 und kennt zahlreiche Varianten:
- DLL-Injection (T1055.001) – ein Prozess wird gezwungen, eine bösartige Bibliothek zu laden.
- Thread Execution Hijacking (T1055.003) – ein vorhandener Thread wird angehalten und auf eingeschleusten Code umgelenkt.
- APC-Injection (T1055.004) – Code wird in eine Warteschlange gestellt und ausgeführt, sobald ein Thread in einen „alertable“ Zustand wechselt.
- Process Hollowing (T1055.012) – ein legitimes Programm wird angehalten gestartet, sein Speicher durch ein bösartiges Image ersetzt und dann fortgesetzt.
Vergleichbare Techniken gibt es unter Linux (etwa über ptrace oder LD_PRELOAD) und unter macOS.
Warum Process Injection gefährlich ist
Code, der in explorer.exe, svchost.exe oder einem Browser läuft, wirkt wie normale Systemaktivität, nutzt dessen Netzwerkzugriff und entgeht oft dateibasierten Scans, weil die Nutzlast die Festplatte nie berührt. Injection ist daher ein Grundbaustein dateiloser Malware, von Banking-Trojanern, die Browserfunktionen manipulieren, und von Post-Exploitation-Frameworks wie Cobalt Strike, deren Beacons routinemäßig in andere Prozesse wandern. Eng verwandt ist das DLL-Hijacking, das ebenfalls die Art missbraucht, wie Windows Code lädt.
So erkennen und verhindern Sie Process Injection
- EDR-Lösungen einsetzen, die prozessübergreifende Speicherzugriffe, entfernte Thread-Erstellung und ungewöhnliche ausführbare Speicherbereiche überwachen.
- Schutzmechanismen wie Protected Process Light für LSASS und Regeln zur Verringerung der Angriffsfläche (ASR) aktivieren.
- Administrative Rechte begrenzen, denn die Injection in privilegierte Prozesse setzt sie meist voraus.
- Systemprozesse untersuchen, die unerwartete Netzwerkverbindungen aufbauen.
