Матрица MITRE ATT&CK

Техника на mitre.org

T1055.002: Внедрение PE-образа

Злоумышленники могут внедрить в процессы исполняемые файлы PE с целью обхода защиты, действующей на уровне процессов, а также для повышения уровня своих привилегий. Внедрение PE-образа — это способ выполнения произвольного кода в адресном пространстве отдельного активного процесса.

Внедрение PE-образа обычно осуществляется через копирование кода (возможно, и без наличия файла на диске) в виртуальное адресное пространство целевого процесса перед его запуском посредством нового потока. Запись может быть осуществлена с помощью вызовов нативного API Windows, таких как VirtualAllocEx и WriteProcessMemory, после чего поток запускается через вызов функции CreateRemoteThread или дополнительного кода (например, шелл-кода). Перемещение внедряемого кода требует дополнительной функциональности, обеспечивающей переназначение ссылок на адреса в памяти .

Запуск кода в контексте другого процесса может обеспечить доступ к памяти процесса, системным и сетевым ресурсам и, возможно, повышенным привилегиям. Выполнение посредством внедрения PE-образа также дает возможность избежать обнаружения защитными решениями, поскольку маскируется под легитимный процесс.

Какие продукты Positive Technologies покрывают технику

Описание методов обнаружения техники пока недоступно

Способы обнаружения

ID	DS0009	Источник и компонент данных	Процесс: Обращение к процессу	Описание	Отслеживайте просматриваемые процессы, которые могут внедрять в процессы исполняемые файлы PE с целью обхода защиты, действующей на уровне процессов, а также для повышения уровня привилегий.

ID	DS0009	Источник и компонент данных	Процесс: Вызовы API ОС	Описание	Отслеживание вызовов Windows API, связанных с разными типами внедрения кода, сопряжено с генерацией больших объемов данных. Для эффективной защиты нужно осуществлять сбор данных только при определенных условиях, чтобы выявлять известные вредоносные последовательности вызовов. В противном случае будет трудно выделить вредоносные вызовы API среди множества легитимных. Для этой техники могут использоваться такие вызовы API Windows, как `CreateRemoteThread`, а также вызовы функций, позволяющих изменять содержимое памяти другого процесса, например `VirtualAllocEx`/`WriteProcessMemory`.

ID	DS0009	Источник и компонент данных	Процесс: Изменения в процессе	Описание	Отслеживайте изменения в процессах, которые могут использоваться для внедрения исполняемых файлов PE в процессы с целью обхода защиты, действующей на уровне процессов, а также для повышения уровня привилегий.

ID	Источник и компонент данных	Описание
DS0009	Процесс: Обращение к процессу	Отслеживайте просматриваемые процессы, которые могут внедрять в процессы исполняемые файлы PE с целью обхода защиты, действующей на уровне процессов, а также для повышения уровня привилегий.
DS0009	Процесс: Вызовы API ОС	Отслеживание вызовов Windows API, связанных с разными типами внедрения кода, сопряжено с генерацией больших объемов данных. Для эффективной защиты нужно осуществлять сбор данных только при определенных условиях, чтобы выявлять известные вредоносные последовательности вызовов. В противном случае будет трудно выделить вредоносные вызовы API среди множества легитимных. Для этой техники могут использоваться такие вызовы API Windows, как `CreateRemoteThread`, а также вызовы функций, позволяющих изменять содержимое памяти другого процесса, например `VirtualAllocEx`/`WriteProcessMemory`.
DS0009	Процесс: Изменения в процессе	Отслеживайте изменения в процессах, которые могут использоваться для внедрения исполняемых файлов PE в процессы с целью обхода защиты, действующей на уровне процессов, а также для повышения уровня привилегий.

Меры противодействия

ID	M1040	Название	Предотвращение некорректного поведения	Описание	В некоторых решениях для обеспечения безопасности конечных точек можно настроить блокирование определенных типов внедрения кода в процессы на основе детектирования распространенных последовательностей действий, характерных для процесса внедрения.

ID	Название	Описание
M1040	Предотвращение некорректного поведения	В некоторых решениях для обеспечения безопасности конечных точек можно настроить блокирование определенных типов внедрения кода в процессы на основе детектирования распространенных последовательностей действий, характерных для процесса внедрения.