Processo Hollowing & Atom Bombing no Windows Defender ATp

Os aprimoramentos de segurança do Windows 10 Creators Update incluem aprimoramentos na Proteção Avançada contra Ameaças do Windows Defender. Esses aprimoramentos manteriam os usuários protegidos contra ameaças como Trojans Kovter e Dridex, diz a Microsoft. Explicitamente, o ATP do Windows Defender pode detectar técnicas de injeção de código associadas a essas ameaças, como Process Hollowing e Atom Bombing . Já utilizado por inúmeras outras ameaças, esses métodos permitem que o malware infecte os computadores e se envolva em várias atividades desprezíveis enquanto permanece oculto.

Process Hollowing

O processo de gerar uma nova instância de um processo legítimo e "esvaziar o sistema" é conhecido como processo oco. Esta é basicamente uma técnica de injeção de código na qual o código legítimo é substituído pelo do malware. Outras técnicas de injeção simplesmente adicionam um recurso malicioso ao processo legítimo, ocasionando resultados em um processo que parece legítimo, mas é essencialmente malicioso.

Process Hollowing usado por Kovter

O processo de endereços da Microsoft está se tornando um dos maiores problemas. usado por Kovter e várias outras famílias de malware. Essa técnica tem sido usada por famílias de malware em ataques sem arquivos, onde o malware deixa pegadas desprezíveis no disco e armazena e executa código apenas a partir da memória do computador.

Kovter, uma família de cavalos de Tróia que recentemente foram observado para se associar com famílias de ransomware como Locky. No ano passado, em novembro, Kovter foi considerado responsável por um grande aumento nas novas variantes de malware.

O Kovter é entregue principalmente através de e-mails de phishing, que oculta a maioria de seus componentes maliciosos através de chaves de registro. Então Kovter usa aplicativos nativos para executar o código e executar a injeção. Ele obtém persistência adicionando atalhos (arquivos.lnk) à pasta de inicialização ou adicionando novas chaves ao registro.

Duas entradas de registro são adicionadas pelo malware para que seu arquivo de componente seja aberto pelo programa legítimo mshta.exe. O componente extrai uma carga ofuscada de uma terceira chave de registro. Um script do PowerShell é usado para executar um script adicional que injeta o shellcode em um processo de destino. O Kovter usa processos vazios para injetar código malicioso em processos legítimos através deste código de shell

Atom Bombing

Atom Bombing é outra técnica de injeção de código que a Microsoft alega bloquear. Essa técnica depende do malware que armazena códigos maliciosos dentro de tabelas atom. Essas tabelas são tabelas de memória compartilhada em que todos os aplicativos armazenam as informações sobre cadeias de caracteres, objetos e outros tipos de dados que exigem acesso diário. Atom Bombing usa chamadas de procedimento assíncrono (APC) para recuperar o código e inseri-lo na memória do processo de destino

Dridex, um dos primeiros a adotar o

Dridex é um trojan bancário que foi visto pela primeira vez em 2014 e tem sido um dos primeiros a adotar o bombardeamento atômico.

O Dridex é distribuído principalmente por e-mails de spam, foi projetado principalmente para roubar credenciais bancárias e informações confidenciais. Também desativa produtos de segurança e fornece aos invasores acesso remoto aos computadores da vítima. A ameaça permanece sub-reptícia e obstinada evitando chamadas de API comuns associadas a técnicas de injeção de código.

Quando o Dridex é executado no computador da vítima, ele procura um processo de destino e garante que user32.dll seja carregado por esse processo. Isso ocorre porque ele precisa da DLL para acessar as funções de tabela de átomos necessárias. A seguir, o malware grava seu shellcode na tabela de átomos globais, além de adicionar chamadas NtQueueApcThread para GlobalGetAtomNameW à fila APC do encadeamento do processo de destino para forçá-lo a copiar o código mal-intencionado na memória.

John Lundgren, a equipe de pesquisa ATP do Windows Defender, diz,

“Kovter e Dridex são exemplos de proeminentes famílias de malware que evoluíram para escapar da detecção usando técnicas de injeção de código. Inevitavelmente, processos de vazamento, bombardeamento atômico e outras técnicas avançadas serão usados ​​por famílias de malware existentes e novas ”, acrescenta.“ O Windows Defender ATP também fornece cronogramas detalhados de eventos e outras informações contextuais que as equipes SecOps podem usar para entender ataques e responder rapidamente. A funcionalidade aprimorada do ATP do Windows Defender permite que eles isolem a máquina vítima e protejam o restante da rede. ”

A Microsoft finalmente está vendo problemas de injeção de código, esperamos ver a empresa adicionando esses desenvolvimentos à versão gratuita do Windows Defensor