Picus Security analysoi MITRE ATT&CKin prosessien injektointitekniikkaa
Picus Securityn julkaisema artikkeli syventyy Portable Executable (PE) -injektiotekniikkaan (MITRE ATT&CK T1055.002), jota hyökkääjät käyttävät haitallisen koodin suorittamiseen.
Kyberturvallisuusyritys Picus Security on julkaissut yksityiskohtaisen analyysin MITRE ATT&CK -viitekehyksen prosessien injektointitekniikasta T1055.002, joka tunnetaan nimellä Portable Executable (PE) Injection.
Tekniikka antaa hyökkääjille mahdollisuuden suorittaa haitallista koodia injektoimalla kokonaisen PE-tiedoston suoraan hyvämaineisen prosessin muistiin. Tämä menetelmä on yleinen nykyaikaisissa kyberhyökkäyksissä, koska se vaikeuttaa haittaohjelmien havaitsemista. Toisin kuin perinteiset levylle kirjoitettavat suoritukset, PE-injektio mahdollistaa haitallisen koodin ajamisen ilman fyysisen tiedoston jättämistä levyjärjestelmään, mikä tekee siitä vaikeammin havaittavan virustorjunta- ja päätepistetunnistusratkaisuille.
Picus Securityn blogikirjoitus selittää, miten hyökkääjät käyttävät PE-injektiota ja esittelee todellisia hyökkäysesimerkkejä. PE-injektiossa hyökkääjät käyttävät Windowsin WriteProcessMemory-funktiota. He kirjoittavat haitallisen koodin kohdeprosessin muistiin sen sijaan, että kirjoittaisivat DLL-tiedoston polun.
Tekniikkaan liittyy haaste: injektoitu koodi saa ennakoimattoman uuden osoitteen kohdeprosessin muistissa. Hyökkääjät ratkaisevat tämän usein muokkaamalla haittaohjelmaa tunnistamaan isäntäprosessin uudelleensijoitustaulun osoitteen ja ratkaisemaan kloonatun kuvan absoluuttiset osoitteet sen uudelleensijoituskuvauksien silmukan kautta.
Picus Security on erikoistunut kyberturvallisuuden testaamiseen ja uhkien simulointiin, auttaen organisaatioita ymmärtämään ja parantamaan puolustustaan tunnettuja hyökkäysmenetelmiä vastaan.