تزریق DLL
Dynamic-link Library Injectionتوضیحات
مهاجمان DLLهای مخرب را به فرآیندهای در حال اجرا تزریق میکنند. با استفاده از APIهایی مانند CreateRemoteThread و LoadLibrary، مهاجمان میتوانند DLL مخرب را در فضای آدرس یک فرآیند قانونی بارگذاری کنند. این تکنیک برای پنهانسازی و ارتقاء سطح دسترسی استفاده میشود.
روشهای شناسایی
نظارت بر فراخوانی CreateRemoteThread و LoadLibrary. شناسایی DLLهای بارگذاری شده از مسیرهای غیرعادی. بررسی فرآیندها با DLLهای مشکوک. تحلیل رفتار فرآیندها با EDR.
روشهای مقابله
استفاده از Windows Defender Credential Guard. پیادهسازی Control Flow Guard. استفاده از EDR. فعالسازی Protected Process Light. بهروزرسانی ویندوز.
تکنیک اصلی
تزریق به فرآیند
مهاجمان کد مخرب را به فرآیندهای در حال اجرا تزریق میکنند تا از فضای آدرس آنها برای پنهانسازی و ارتقاء سطح دسترسی استفاده کنند. تزریق به فرآیندهای با سطح دسترسی بالا میتواند به مهاجمان اجازه دهد به منابع سیستمی که معمولاً غیرقابل دسترس هستند دسترسی داشته باشند.