Специалисты компании enSilo выступили с докладом на конференции Black Hat Europe 2017 и рассказали о новой технике атак, получившей название Process Doppelgänging. Такие атаки работают против всех версий Windows и позволяют обмануть большинство современных антивирусов, выполнив вредоносный код прямо у них «под носом».

Схема работы Process Doppelgänging похожа на другую, давно известную технику атак, которая называется Process Hollowing. Данная методика внедрения кода предполагает создание нового экземпляра легитимного процесса и последующую подмену легитимного кода вредоносным. Так как о существовании Process Hollowing известно давно, большинство защитных решений успешно обнаруживают и пресекают подобные манипуляции.

Но специалисты enSilo решили развить эту идею дальше, и создали атаку, которая позволяет более эффективно скрывать малварь от антивирусов в контексте легитимных процессов. Process Doppelgänging предполагает использование транзакций NTFS, что позволяет модифицировать легитимный файл в контексте транзакции, а затем выполнять вредоносный код, который в итоге вообще не попадает на диск (атака получается басфайловой).

Исследователи сообщают, что при помощи Process Doppelgänging  им удалось обмануть защитные решения «Лаборатории Касперского», Bitdefender, ESET, Symantec, McAfee, Windows Defender, AVG, Avast, Qihoo 360 и Panda. Даже такой продвинутый софт для киберкриминалистов, как Volatility, не сумел обнаружить атаку. В ходе экспериментов специалисты использовали Process Doppelgänging  для запуска известной утилиты для восстановления и хищения паролей Mimikatz.

Специалисты рассказали, что для использования Process Doppelgänging атакующим нужно знать немало недокументированных деталей о работе и создании процессов, то есть вряд ли преступникам удастся легко взять данную технику на вооружение. С другой стороны, есть и плохая новость: выпустить патчи для Process Doppelgänging невозможно, так как атака эксплуатирует фундаментальные механизмы и функции работы Windows. Впрочем, продукция компании enSilo уже способна распознавать такие атаки, а значит, другие вендоры тоже смогут разработать механизмы для обнаружения Process Doppelgänging.

Технические подробности и PoC-эксплоит вскоре появятся на сайтах enSilo и Black Hat.

6 комментариев

  1. john_

    09.12.2017 at 09:13

    Все становится только хуже с каждым днём

  2. Themistocles

    10.12.2017 at 19:13

    слишком сложно. проще js скрипты на мыло бухгалтеру присылать. это больше по части apt

  3. fabien

    11.12.2017 at 16:07

    >вряд ли преступникам удастся легко взять данную технику на вооружение
    >Технические подробности и PoC-эксплоит вскоре появятся на сайтах
    Ничего, подождут немного. 😀

  4. termonoid

    13.12.2017 at 11:45

    переходим на linux

  5. Александр

    17.12.2017 at 19:29

    Давайте линь не трогать, с приходом масс там вири появятся. Щас там так спокойно.

Оставить мнение