Process hollowing

1. Process Hollowing
@ry0kvn

2. About Me
Twitter@ry0kvn
りょーくん
セキュリティキャンプ2019受講生
CODE BLUE2019 学生スタッフ

3. 今日話すこと
- Process Hollowing の紹介
- プロセスやPEまわりの解説
- ベース再配置の解説
- PoCコードの簡単な解説
- デモ
- 事例

4. ProcessHollowingとは
悪意あるプロセスがターゲットプロセスの
実行コード領域をくり抜いた後、代替コード
を注入し実行させる検知回避手法の1つ。
Malicious
process
target
process
Malicious
code
target
process
create
and
unmap
inject

5. MITRE のATT&CK Matrixではこの辺り

6. 実装に必要な前提知識解説

7. Windowsにおけるプロセス操作
プロセスA プロセスB
VirtualAllocEX()
でメモリ領域確保
WriteProcessMemory()
でデータ書き込み

8. ソースファイル
オブジェクトファ
イル
実行可能ファイ
ル
ロードされた
イメージファイル
仮想メモリ
コンパイラ リンカ ローダー
EXEファイルの生成とロード

9. いろいろなアドレス
- ImageBase
イメージファイルがロードされたアドレス
- RVA(Relative Virtual Address)
ImageBaseからのオフセット
- VA
仮想メモリ内オフセット
Virtual Memory
ImageBase
RVA
VA

10. ベース再配置
リンカが想定した
理想の配置
ローダが選択した現
実の配置
0x00400000
ロードされたイメージ
ファイル
マップ済み
0x00400000
0x00600000
ロードされたイメージ
ファイル

11. ベース再配置情報の格納場所
OPTIONAL_HEADERの DataDirectory の 5番目のエントリである
IMAGE_DIRECTORY_ENTRY_BASERELOCに
再配置が必要なアドレスのリストが格納される。

12. ベース再配置情報の格納場所

13. PEviewで見るとこ
んな感じ

14. ベース再配置の求め方
Delta =
(ローダによる実際のImageBase)
ー
(リンカによる理想のImageBase)
リンカによるメモリ配置 ローダによるメモリ配置
Delta

15. Win32APIを使った
Process Hollowing の実装

16. ポイントとなる関数
CraeteProcessA
ReadRemotePEB
ReadRemoteImage
NtUnmapViewOfSeciton
VirtualAllocEX
マニュアルでベース再配置を計算
WriteProcessMemory
ResumeThread

17. ポイントとなる関数
CraeteProcessA ターゲットとなるプロセスをCREATE_SUSPENDで新規作成
ReadRemotePEB ターゲットプロセスのPEB情報を取得
ReadRemoteImage ImageBaseへのアドレスを取得
NtUnmapViewOfSeciton ターゲットプロセスのImageBaseからImageViewをアンマップ
VirtualAllocEX ターゲットプロセスにメモリ領域の確保
マニュアルでベース再配置を計算
WriteProcessMemory ターゲットプロセスにデータの書き込み
ResumeThread ターゲットプロセスの停止解除

18. %demo

20. 事例
EMOTETでは、System32内の正規ファイルを名前変更して手元にコピーし、パスワー
ド抽出を行うNirSoftというフリーツールを実行コードとしてProcessHollowingしてい
た。
「流行マルウェア「EMOTET」の内部構造を紐解く」を参考
https://www.mbsd.jp/blog/20181225_2.html

21. end%