Впровадження в процес (process injection) — техніка, за якої шкідливий код виконується в адресному просторі іншого, зазвичай легітимного процесу, щоб приховати свою активність і успадкувати його привілеї.
Як працює впровадження в процес
У Windows класична послідовність проста: зловмисник відкриває дескриптор цільового процесу, виділяє в ньому пам’ять (VirtualAllocEx), записує туди код (WriteProcessMemory) і запускає його через CreateRemoteThread. У MITRE ATT&CK техніку описано як T1055, вона має багато варіантів:
- Впровадження DLL (T1055.001) — процес змушують завантажити шкідливу бібліотеку.
- Перехоплення виконання потоку (T1055.003) — наявний потік призупиняють і перенаправляють на впроваджений код.
- APC-ін’єкція (T1055.004) — код ставлять у чергу асинхронних викликів, і він виконується, коли потік переходить у стан очікування (alertable).
- Process hollowing (T1055.012) — легітимну програму запускають у призупиненому стані, замінюють її пам’ять шкідливим образом і відновлюють виконання.
Схожі прийоми існують у Linux (наприклад, через ptrace або LD_PRELOAD) і в macOS.
Чому це важливо
Код, що працює всередині explorer.exe, svchost.exe чи браузера, виглядає як звичайна системна активність, користується мережевим доступом цього процесу й може уникнути файлового сканування, адже корисне навантаження часто взагалі не потрапляє на диск. Тому впровадження в процес — базовий елемент безфайлового шкідливого ПЗ, банківських троянів, що перехоплюють функції браузера, і фреймворків постексплуатації на кшталт Cobalt Strike, чиї «бікони» регулярно мігрують до інших процесів. Техніка тісно пов’язана з перехопленням завантаження DLL, яке теж зловживає тим, як Windows завантажує код.
Як виявити та запобігти
- Використовувати EDR, що відстежує запис у пам’ять чужих процесів, створення віддалених потоків і незвичні виконувані ділянки пам’яті.
- Увімкнути захисні механізми: Protected Process Light для LSASS і правила Attack Surface Reduction.
- Обмежити адміністративні права — для впровадження в привілейовані процеси вони зазвичай потрібні.
- Розслідувати випадки, коли системні процеси встановлюють неочікувані мережеві з’єднання.
