Prosessin hollowing
Process Hollowing
Process hollowing on tekniikka, jota kyberrikolliset käyttävät piilottaakseen ja suorittaakseen haitallista koodia laillisen prosessin osoiteavaruudessa. Korvaamalla laillisen prosessin koodi haitallisella hyötykuormalla ja suorittamalla sitä ikään kuin se olisi osa alkuperäistä prosessia, hyökkääjät voivat välttää tietoturvaohjelmistojen havaitsemisen ja toimia salaa järjestelmässä. Process hollowing toimii seuraavien vaiheiden avulla:
Korvaaminen: Hyökkääjät aloittavat luomalla laillisen prosessin, yleensä kutsumalla Windowsin
CreateProcess-funktion. Sitten he korvaavat tämän prosessin koodin haitallisella hyötykuormalla. Tämä saavutetaan manipuloimalla prosessin muistia, erityisesti aluetta, joka sisältää suoritettavan koodin.Suoritus: Kun prosessi on muokattu, se käynnistetään ja suorittaa haitallista koodia. Käyttöjärjestelmän ja mahdollisen tietoturvaohjelmiston näkökulmasta näyttää siltä, että laillinen prosessi on käynnissä. Tämä mahdollistaa hyökkääjien suorittaa haitalliset toimintansa herättämättä epäilyksiä.
Näkymättömyys: Yksi process hollowing -tekniikan ensisijaisista eduista on sen kyky piilottaa haitallista toimintaa näennäisesti vaarattoman prosessin sisällä. Suorittamalla haitallista koodia laillisen prosessin osoiteavaruudessa hyökkääjät voivat ohittaa perinteiset tietoturvatoimet, jotka perustuvat epäilyttävien tai haitallisten prosessien havaitsemiseen. Tämä sisältää virustorjuntaohjelmat, tunkeutumisen havaitsemisjärjestelmät ja käyttäytymispohjaiset analyysityökalut.
Ehkäisyvinkkejä
Suojautuaksesi process hollowing -hyökkäyksiltä on tärkeää toteuttaa ehkäiseviä toimia ja tietoturvan parhaita käytäntöjä. Tässä on joitakin vinkkejä harkittavaksi:
Seurantatyökalut: Käytä prosessien seurantatyökaluja, jotka voivat havaita mahdolliset poikkeamat prosessien käyttäytymisessä tai niiden muistiin tehdyissä muutoksissa. Nämä työkalut voivat auttaa tunnistamaan mahdolliset process hollowing -yritykset ja hälyttää ylläpitäjiä tutkimaan asiaa tarkemmin.
Koodin allekirjoitus: Tarkista säännöllisesti koodin allekirjoitukset ja muut laillisuuden indikaattorit prosesseille ja niiden siihen liittyville moduuleille. Koodin allekirjoitus tarjoaa keinon varmistaa, että koodia ei ole muokattu ja että se on luotettavasta lähteestä.
Päätelaiteturvallisuus: Ota käyttöön vahvat päätelaiteturvaratkaisut, joilla on kyky havaita ja estää process hollowing -tekniikoita. Päätelaiteturvaratkaisut käyttävät erilaisia havaintomekanismeja, mukaan lukien käyttäytymiseen perustuva analyysi, heuristiikka ja koneoppiminen, haitallisten toimien tunnistamiseen ja estämiseen.
Päivitysten hallinta: Pidä ohjelmistot ja käyttöjärjestelmät ajan tasalla uusimpien tietoturvakorjausten avulla. Ohjelmistojen haavoittuvuuksia voidaan usein käyttää hyväksi hyökkääjien toimesta prosesseihin pääsemiseksi ja process hollowing -suorittamiseksi.
Käyttäjäkoulutus: Kouluta käyttäjiä mahdollisista uhista ja rohkaise heitä varovaisuuteen avatessa sähköpostiliitteitä, ladattaessa tiedostoja tai käydessä epäilyttävillä verkkosivustoilla. Edistämällä kyberturvallisuustietoisuuden kulttuuria, käyttäjät voivat tulla lisäsuojaksi process hollowing -hyökkäyksiä vastaan.
Aiheeseen liittyvät termit
Code Injection: Prosessi, jossa haitallista koodia tuodaan lailliseen sovellukseen tai prosessiin. Code injection voidaan käyttää osana process hollowing -tekniikkaa.
DLL Injection: DLL-injektio sisältää Dynamic Link Library (DLL) -tiedoston injektoinnin käynnissä olevan prosessin osoiteavaruuteen haitallisen koodin suorittamiseksi. DLL-injektio voidaan käyttää yhdessä process hollowing -tekniikan kanssa tai sen vaihtoehtona.