十种进程注入技术介绍：常见注入技术及趋势调查

该技术与先前讨论的Process Hollowing技术有一些相似之处。在线程执行劫持中，恶意软件以进程的现有线程为目标，并避免任何其他的进程或线程创建操作。因此，在分析期间，你可能会看到对CreateToolhelp32Snapshot和Thread32First的调用，然后是OpenThread。

获取目标线程的句柄后，恶意软件通过调用SuspandThread来挂起这个线程，然后调用VirtualAllocEx和WriteProcessMemory来分配内存并执行代码注入。代码可以包含shellcode，恶意DLL的路径以及LoadLibrary的地址。

图4展示了使用这种技术的通用木马。为了劫持线程的执行，恶意软件通过调用SetThreadContext来修改目标线程的EIP寄存器（包含下一条指令的地址的寄存器）。之后，恶意软件恢复线程来执行它已写入主机进程的shellcode。从攻击者的角度来看，SIR方法可能会出问题，因为在系统调用过程中挂起和恢复线程会导致系统崩溃。为了避免这种情况，如果EIP寄存器在NTDLL.dll范围内，复杂一点的恶意软件会稍后重新尝试。

五、通过SETWINDOWSHOOKEX进行HOOK注入

HOOK是一种拦截函数调用的技术，恶意软件可以利用HOOK的功能在特定线程中触发事件时加载其恶意DLL。这通常通过调用SetWindowsHookEx将hook routine安装到HOOK链中来完成。SetWindowsHookEx函数有四个参数。第一个参数是事件的类型。事件反映了HOOK类型的范围，从键盘上的按键（WH_KEYBOARD）到鼠标输入（WH_MOUSE），CBT等等。第二个参数是指向恶意软件想要在事件上调用的函数的指针。第三个参数是包含该函数的模块。因此，在调用SetWindowsHookEx之前，通常会看到对LoadLibrary和GetProcAddress的调用。此函数的最后一个参数是与HOOK过程相关联的线程。如果此值设置为零，则所有线程都会在触发事件时执行操作。但是，恶意软件通常针对一个线程以降低噪声，因此在SetWindowsHookEx之前也可以看到调用CreateToolhelp32Snapshot和Thread32Next来查找和定位单个线程。注入DLL后，恶意软件代表其threadId传递给SetWindowsHookEx函数的进程执行其恶意代码。在图5中，Locky Ransomware实现了这种技术。

六、通过修改注册表实现注入和持久性

Appinit_DLL，AppCertDlls和IFEO（映像文件执行选项）都是恶意软件用于注入和持久性的注册表项。条目位于以下位置：

HKLMSoftwareMicrosoftWindows NTCurrentVersionWindowsAppinit_Dlls 
 
   HKLMSoftwareWow6432NodeMicrosoftWindows NTCurrentVersionWindowsAppinit_Dlls 
 
   HKLMSystemCurrentControlSetControlSession ManagerAppCertDlls 
 
   HKLMSoftwareMicrosoftWindows NTcurrentversionimage file execution options 

AppInit_DLLs

恶意软件可以在Appinit_Dlls注册表项下插入其恶意库的位置，以使另一个进程加载其库。此注册表项下的每个库都会加载到每个加载User32.dll的进程中。User32.dll是一个非常常见的库，用于存储对话框等图形元素。因此，当恶意软件修改此子键时，大多数进程将加载恶意库。图6展示了Ginwui依赖这种注入和持久性方法的木马。它只是通过调用RegCreateKeyEx打开Appinit_Dlls注册表项，并通过调用RegSetValueEx来修改其值。

AppCertDlls

此方法与AppInit_DLLs方法非常相似，只是此注册表项下的DLL被加载到调用Win32 API函数CreateProcess，CreateProcessAsUser，CreateProcessWithLogonW，CreateProcessWithTokenW和WinExec的每个进程中。

映像文件执行选项（IFEO）

IFEO通常用于调试目的。开发人员可以在此注册表项下设置“调试器值”，以将程序附加到另一个可执行文件以进行调试。因此，每当启动可执行文件时，会启动附加到它的程序。要使用此功能，你只需提供调试器的路径，并将其附加到要分析的可执行文件。恶意软件可以修改此注册表项以将其自身注入目标可执行文件。在图7中，Diztakun木马通过修改任务管理器的调试器值来实现此技术。

七、APC注入和ATOMBOMBING

（编辑：云计算网_泰州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!