Detecção de Técnicas de Injeção de Processos

Quando Usar

• Alertas de EDR sobre sequências de chamadas de API suspeitas (VirtualAllocEx + WriteProcessMemory + CreateRemoteThread)
• Um processo legítimo (explorer.exe, svchost.exe) exibe conexões de rede ou operações de arquivo inesperadas
• Forense de memória revela código executável em regiões de memória que não deveriam contê-lo
• Investigação de ataques "living-off-the-land" onde malware se esconde dentro de processos confiáveis
• Construção de lógica de detecção para técnicas de injeção específicas em regras de EDR ou SIEM

Não use para análise de carregamento de DLL padrão; injeção implica a colocação de código não autorizado em um processo sem a cooperação desse processo.

Pré-requisitos

• Volatility 3 para análise forense de memória de artefatos de injeção
• Sysmon configurado com IDs de Evento 8 (CreateRemoteThread) e 10 (ProcessAccess)
• API Monitor ou x64dbg para observar chamadas de API de injeção em tempo real
• Process Hacker ou Process Explorer para inspecionar regiões de memória de processos
• Compreensão de gerenciamento de memória do Windows (VirtualAlloc, VAD, proteções de página)
• Ambiente de análise isolado para execução e monitoramento seguro de malware

Fluxo de Trabalho

Passo 1: Identificar Injeção via Forense de Memória

Use o Volatility para detectar código injetado na memória do processo:

# malfind: Primary injection detection plugin
vol3 -f memory.dmp windows.malfind

# malfind detects:
# - Memory regions with PAGE_EXECUTE_READWRITE (RWX) protection
# - PE headers (MZ signature) in non-image VAD entries
# - Executable memory not backed by a file on disk

# Filter by specific process
vol3 -f memory.dmp windows.malfind --pid 852

# Dump injected memory regions for analysis
vol3 -f memory.dmp windows.malfind --dump

# Check VAD (Virtual Address Descriptor) tree for anomalies
vol3 -f memory.dmp windows.vadinfo --pid 852

# Detect hollowed processes (mapped image doesn't match disk)
vol3 -f memory.dmp windows.hollowfind

Passo 2: Classificar a Técnica de Injeção

Identifique qual método de injeção foi usado com base nos artefatos:

Process Injection Techniques and Detection Artifacts:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

1. Classic DLL Injection
   APIs: OpenProcess -> VirtualAllocEx -> WriteProcessMemory -> CreateRemoteThread
   Artifact: Loaded DLL in target process not present in known-good baseline
   Detection: New DLL in dlllist not matching disk hash, CreateRemoteThread event

2. Process Hollowing (RunPE)
   APIs: CreateProcess(SUSPENDED) -> NtUnmapViewOfSection -> VirtualAllocEx ->
         WriteProcessMemory -> SetThreadContext -> ResumeThread
   Artifact: Process image in memory doesn't match file on disk
   Detection: hollowfind plugin, mismatched PE headers vs disk file

3. APC Injection
   APIs: OpenProcess -> VirtualAllocEx -> WriteProcessMemory -> QueueUserAPC
   Artifact: Alertable thread has queued APC pointing to injected code
   Detection: Thread start addresses outside known modules

4. Thread Hijacking
   APIs: OpenProcess -> VirtualAllocEx -> WriteProcessMemory ->
         SuspendThread -> GetThreadContext -> SetThreadContext -> ResumeThread
   Artifact: Thread instruction pointer changed to injected code
   Detection: Thread context modification, EIP/RIP outside module boundaries

5. Reflective DLL Injection
   APIs: VirtualAllocEx -> WriteProcessMemory -> CreateRemoteThread (to reflective loader)
   Artifact: DLL loaded in memory but NOT in loaded module list
   Detection: malfind (PE in non-image memory), module not in ldrmodules

6. Process Doppelganging
   APIs: NtCreateTransaction -> NtCreateFile(transacted) -> NtWriteFile ->
         NtCreateSection -> NtRollbackTransaction -> NtCreateProcessEx
   Artifact: Process created from transacted file that was rolled back
   Detection: Process with no corresponding file on disk

7. AtomBombing
   APIs: GlobalAddAtom -> NtQueueApcThread (with GlobalGetAtomName)
   Artifact: Code stored in global atom table, APC triggers copy to target
   Detection: Unusual atom table entries, APC injection indicators

Passo 3: Detectar Injeção via Eventos do Sysmon

Analise dados do Sysmon e do Log de Eventos do Windows:

# Sysmon Event ID 8: CreateRemoteThread
# Detecta quando um processo cria uma thread em outro
wevtutil qe "Microsoft-Windows-Sysmon/Operational" \
  /q:"*[System[EventID=8]]" /f:text /c:20

# Sysmon Event ID 10: ProcessAccess
# Detecta acesso suspeito a outros processos

…