Detecção da Técnica de Process Hollowing

Quando Usar

• Ao investigar malware suspeito sem arquivos ou ameaças em memória
• Após alertas de EDR sobre injeção de processos ou operações de memória suspeitas
• Ao caçar por técnicas de evasão de defesa em um ambiente comprometido
• Quando relatórios de inteligência de ameaças indicam process hollowing em campanhas ativas
• Durante exercícios de time roxo validando a cobertura de detecção de T1055.012

Pré-requisitos

• EDR com monitoramento de proteção de memória (CrowdStrike, MDE, SentinelOne)
• Sysmon com IDs de Evento 1 (Process Create), 8 (CreateRemoteThread), 25 (ProcessTampering)
• Provedores ETW do Windows para process hollowing (Microsoft-Windows-Kernel-Process)
• Capacidades de forense de memória (Volatility, WinDbg)
• Ferramentas de monitoramento de integridade de processos

Fluxo de Trabalho

1. Entender a Mecânica do Hollowing: O process hollowing envolve a criação de um processo legítimo em estado suspenso, o desmapeamento de sua memória, a escrita de código malicioso e, em seguida, a retomada da execução.
2. Monitorar Criação de Processos Suspensos: Procure por processos criados com o flag CREATE_SUSPENDED, seguido por escritas de memória e retomada de threads.
3. Detectar Anomalias de Seção de Memória: Identifique processos onde a imagem em memória difere do binário em disco (incompatibilidade de imagem).
4. Analisar Árvores de Processos Pai-Filho: Sinalize processos cujo comportamento não corresponde ao nome do seu binário (por exemplo, svchost.exe fazendo conexões de rede incomuns).
5. Verificar Integridade do Processo: Compare as seções de memória do processo com o binário legítimo em disco.
6. Correlacionar com Atividade de Rede: Processos hollowed frequentemente estabelecem conexões C2 - correlacione comportamento suspeito de processos com logs de rede.
7. Documentar e Conter: Relate as descobertas, isole os endpoints afetados e atualize as regras de detecção.

Conceitos Chave

Ferramentas & Sistemas

Cenários Comuns

1. Hollowing de Svchost.exe: Malware cria svchost.exe suspenso, o "hollows", injeta código de backdoor - o processo parece legítimo, mas se comporta maliciosamente.
2. Hollowing de Explorer.exe: Atacante "hollows" explorer.exe para herdar suas permissões de rede e contexto de processo confiável.
3. Hollowing de Rundll32: Loader malicioso cria rundll32.exe, substitui sua memória por código de implante para beaconing C2.
4. Hollowing Multi-Estágio: Loader usa process hollowing como primeiro estágio, depois realiza injeção adicional em serviços.

Formato de Saída

Hunt ID: TH-HOLLOW-[DATE]-[SEQ]
Technique: T1055.012
Hollowed Process: [Process name and PID]
Original Binary: [Expected on-disk path]
Parent Process: [Parent name and PID]
Memory Mismatch: [Yes/No]
Suspicious APIs: [NtUnmapViewOfSection, WriteProcessMemory, etc.]
Network Activity: [C2 connections if any]
Host: [Hostname]
User: [Account context]
Risk Level: [Critical/High/Medium/Low]