Специалисты компании enSilo выступили с докладом на конференции Black Hat Europe 2017 и рассказали о новой технике атак, получившей название Process Doppelgänging. Такие атаки работают против всех версий Windows и позволяют обмануть большинство современных антивирусов, выполнив вредоносный код прямо у них «под носом».
Схема работы Process Doppelgänging похожа на другую, давно известную технику атак, которая называется Process Hollowing. Данная методика внедрения кода предполагает создание нового экземпляра легитимного процесса и последующую подмену легитимного кода вредоносным. Так как о существовании Process Hollowing известно давно, большинство защитных решений успешно обнаруживают и пресекают подобные манипуляции.
Но специалисты enSilo решили развить эту идею дальше, и создали атаку, которая позволяет более эффективно скрывать малварь от антивирусов в контексте легитимных процессов. Process Doppelgänging предполагает использование транзакций NTFS, что позволяет модифицировать легитимный файл в контексте транзакции, а затем выполнять вредоносный код, который в итоге вообще не попадает на диск (атака получается басфайловой).
Исследователи сообщают, что при помощи Process Doppelgänging им удалось обмануть защитные решения «Лаборатории Касперского», Bitdefender, ESET, Symantec, McAfee, Windows Defender, AVG, Avast, Qihoo 360 и Panda. Даже такой продвинутый софт для киберкриминалистов, как Volatility, не сумел обнаружить атаку. В ходе экспериментов специалисты использовали Process Doppelgänging для запуска известной утилиты для восстановления и хищения паролей Mimikatz.
Специалисты рассказали, что для использования Process Doppelgänging атакующим нужно знать немало недокументированных деталей о работе и создании процессов, то есть вряд ли преступникам удастся легко взять данную технику на вооружение. С другой стороны, есть и плохая новость: выпустить патчи для Process Doppelgänging невозможно, так как атака эксплуатирует фундаментальные механизмы и функции работы Windows. Впрочем, продукция компании enSilo уже способна распознавать такие атаки, а значит, другие вендоры тоже смогут разработать механизмы для обнаружения Process Doppelgänging.
Технические подробности и PoC-эксплоит вскоре появятся на сайтах enSilo и Black Hat.
