Process Doppelgänging
Process Doppelgängingتوضیحات
مهاجمان از Windows Transactional NTFS (TxF) برای ایجاد فرآیندهایی از فایلهای مخرب که هرگز روی دیسک نوشته نمیشوند استفاده میکنند. این تکنیک بسیاری از ابزارهای امنیتی را دور میزند زیرا فایل مخرب در سیستم فایل قابل مشاهده نیست.
روشهای شناسایی
نظارت بر استفاده از TxF APIها. شناسایی فرآیندهای ایجاد شده از transactionهای باز. بررسی رفتار غیرعادی فرآیندها. استفاده از EDR پیشرفته.
روشهای مقابله
استفاده از EDR پیشرفته. فعالسازی DEP و ASLR. بهروزرسانی ویندوز. پیادهسازی Application Whitelisting. استفاده از Windows Defender.
تکنیک اصلی
تزریق به فرآیند
مهاجمان کد مخرب را به فرآیندهای در حال اجرا تزریق میکنند تا از فضای آدرس آنها برای پنهانسازی و ارتقاء سطح دسترسی استفاده کنند. تزریق به فرآیندهای با سطح دسترسی بالا میتواند به مهاجمان اجازه دهد به منابع سیستمی که معمولاً غیرقابل دسترس هستند دسترسی داشته باشند.