La inyección de procesos es una técnica en la que se ejecuta código malicioso dentro del espacio de memoria de otro proceso, normalmente legítimo, para ocultar su actividad y heredar los privilegios de ese proceso.
Cómo funciona la inyección de procesos
En Windows, el atacante abre un identificador (handle) del proceso objetivo, reserva memoria en él (VirtualAllocEx), escribe allí su código (WriteProcessMemory) y lo arranca con CreateRemoteThread. MITRE ATT&CK la cataloga como T1055, con variantes como:
- Inyección de DLL (T1055.001): obliga a un proceso a cargar una biblioteca maliciosa.
- Secuestro de ejecución de hilos (T1055.003): suspende un hilo existente y lo redirige al código inyectado.
- Inyección APC (T1055.004): encola código que se ejecuta cuando un hilo entra en espera alertable.
- Process hollowing (T1055.012): inicia un programa legítimo en estado suspendido, sustituye su memoria por una imagen maliciosa y lo reanuda.
Existen técnicas similares en Linux (por ejemplo, mediante ptrace o LD_PRELOAD) y en macOS.
Por qué es importante
El código que se ejecuta dentro de explorer.exe, svchost.exe o un navegador parece actividad normal del sistema, usa su acceso a la red y elude el análisis de archivos, porque la carga a menudo nunca toca el disco. Por eso la inyección es una pieza clave del malware sin archivos, de los troyanos bancarios que interceptan funciones del navegador y de marcos de post-explotación como Cobalt Strike, cuyos beacons migran habitualmente a otros procesos. Está estrechamente relacionada con el secuestro de DLL, que también abusa de la forma en que Windows carga el código.
Cómo detectarla y prevenirla
- Desplegar soluciones EDR que vigilen las escrituras de memoria entre procesos, la creación de hilos remotos y las regiones de memoria ejecutables inusuales.
- Activar protecciones como Protected Process Light para LSASS y las reglas de reducción de la superficie de ataque (ASR).
- Limitar los derechos de administrador, que suelen requerirse para inyectar en procesos privilegiados.
- Investigar procesos del sistema con conexiones de red inesperadas.
