Process Hollowing

Transcript

1. Process Hollowing @ry0kvn
2. About Me Twitter@ry0kvn りょーくん セキュリティキャンプ2019受講生 CODE BLUE2019 学生スタッフ
3. 今日話すこと - Process Hollowing の紹介 - プロセスやPEまわりの解説 - ベース再配置の解説 - PoCコードの簡単な解説 - デモ - 事例
4. ProcessHollowingとは 悪意あるプロセスがターゲットプロセスの 実行コード領域をくり抜いた後、代替コード を注入し実行させる検知回避手法の1つ。 Malicious process target process Malicious code target process create and unmap inject
5. MITRE のATT&CK Matrixではこの辺り
6. 実装に必要な前提知識解説
7. Windowsにおけるプロセス操作 プロセスA プロセスB VirtualAllocEX() でメモリ領域確保 WriteProcessMemory() でデータ書き込み
8. ソースファイル オブジェクトファ イル 実行可能ファイ ル ロードされた イメージファイル 仮想メモリ コンパイラ リンカ ローダー EXEファイルの生成とロード
9. いろいろなアドレス - ImageBase イメージファイルがロードされたアドレス - RVA(Relative Virtual Address) ImageBaseからのオフセット - VA 仮想メモリ内オフセット Virtual Memory ImageBase RVA VA
10. ベース再配置 リンカが想定した 理想の配置 ローダが選択した現 実の配置 0x00400000 ロードされたイメージ ファイル マップ済み 0x00400000 0x00600000 ロードされたイメージ ファイル
11. ベース再配置情報の格納場所 OPTIONAL_HEADERの DataDirectory の 5番目のエントリである IMAGE_DIRECTORY_ENTRY_BASERELOCに 再配置が必要なアドレスのリストが格納される。
12. ベース再配置情報の格納場所
13. PEviewで見るとこ んな感じ
14. ベース再配置の求め方 Delta = (ローダによる実際のImageBase) ー (リンカによる理想のImageBase) リンカによるメモリ配置 ローダによるメモリ配置 Delta
15. Win32APIを使った Process Hollowing の実装
16. ポイントとなる関数 CraeteProcessA　 ReadRemotePEB ReadRemoteImage NtUnmapViewOfSeciton　 VirtualAllocEX マニュアルでベース再配置を計算 WriteProcessMemory ResumeThread　
17. ポイントとなる関数 CraeteProcessA　ターゲットとなるプロセスをCREATE_SUSPENDで新規作成 ReadRemotePEB　ターゲットプロセスのPEB情報を取得 ReadRemoteImage　ImageBaseへのアドレスを取得 NtUnmapViewOfSeciton ターゲットプロセスのImageBaseからImageViewをアンマップ VirtualAllocEX　ターゲットプロセスにメモリ領域の確保 マニュアルでベース再配置を計算 WriteProcessMemory　ターゲットプロセスにデータの書き込み ResumeThread　ターゲットプロセスの停止解除
18. %demo
20. 事例 EMOTETでは、System32内の正規ファイルを名前変更して手元にコピーし、パスワー ド抽出を行うNirSoftというフリーツールを実行コードとしてProcessHollowingしてい た。 「流行マルウェア「EMOTET」の内部構造を紐解く」を参考 https://www.mbsd.jp/blog/20181225_2.html
21. end%