Detectando Injeção de Processo T1055 com Sysmon

Quando Usar

• Ao procurar por técnicas de evasão de defesa que escondem código malicioso dentro de processos legítimos
• Após alertas de EDR para acesso suspeito à memória entre processos ou criação remota de threads
• Ao investigar malware que se injeta em svchost.exe, explorer.exe ou outros processos do sistema
• Durante exercícios de equipe roxa testando a detecção de variantes de injeção de processo
• Ao validar a cobertura de configuração do Sysmon para detecção de injeção

Pré-requisitos

• Sysmon implantado com configuração abrangente capturando Eventos 1, 7, 8, 10, 25
• Event ID 8 (CreateRemoteThread) habilitado para detecção de threads remotos
• Event ID 10 (ProcessAccess) configurado com filtros de máscara de acesso apropriados
• Event ID 7 (ImageLoaded) para detecção de injeção de DLL
• Event ID 25 (ProcessTampering) para process hollowing no Sysmon 13+
• Plataforma SIEM para correlação e alertas

Fluxo de Trabalho

1. Monitorar CreateRemoteThread (Evento 8): Detectar quando um processo cria um thread no espaço de endereço de outro processo. Este é o principal indicador de injeção clássica de DLL e injeção de shellcode.
2. Analisar ProcessAccess (Evento 10): Rastrear solicitações de handle entre processos com direitos de acesso PROCESS_VM_WRITE (0x0020), PROCESS_VM_OPERATION (0x0008) e PROCESS_CREATE_THREAD (0x0002). Processos legítimos raramente precisam disso em outros processos.
3. Detectar Carregamento Anômalo de DLL (Evento 7): Identificar DLLs carregadas de caminhos incomuns (diretórios temporários do usuário, pastas de download) em processos do sistema.
4. Caçar Process Hollowing (Evento 25): Sysmon 13+ gera eventos ProcessTampering quando a imagem executável na memória diverge do que foi mapeado do disco -- uma marca registrada do process hollowing (T1055.012).
5. Correlacionar com Criação de Processo: Vincular eventos de injeção à criação do processo de origem (Evento 1) para construir a cadeia de ataque completa, desde a execução inicial até a injeção.
6. Filtrar Atividade Legítima Entre Processos: Excluir software legítimo que realiza operações entre processos (depuradores, produtos antivírus, ferramentas de acessibilidade, agentes RMM).
7. Mapear para Sub-técnicas do ATT&CK: Classificar a injeção detectada como injeção clássica (T1055.001), injeção de PE (T1055.002), sequestro de execução de thread (T1055.003), injeção de APC (T1055.004), thread local storage (T1055.005), process hollowing (T1055.012) ou process doppelganging (T1055.013).

Conceitos Chave

Ferramentas e Sistemas

Consultas de Detecção

Splunk -- Criação Remota de Threads

index=sysmon EventCode=8
| where SourceImage!=TargetImage
| where NOT match(SourceImage, "(?i)(csrss|lsass|services|svchost|MsMpEng|SecurityHealthService|vmtoolsd)\.exe$")
| eval suspicious=if(match(TargetImage, "(?i)(svchost|explorer|lsass|winlogon|csrss|services)\.exe$"), "high_value_target", "normal_target")
| where suspicious="high_value_target"
| table _time Computer SourceImage SourceProcessId TargetImage TargetProcessId StartFunction NewThreadId

Splunk -- Padrões Suspeitos de ProcessAccess

index=sysmon EventCode=10
| where SourceImage!=TargetImage
| where match(GrantedAccess, "(0x1FFFFF|0x1F3FFF|0x143A|0x0040)")
| where match(TargetImage, "(?i)(lsass|svchost|explorer|winlogon)\.exe$")
| where NOT match(SourceImage, "(?i)(MsMpEng|csrss|services|svchost|taskmgr|procexp)\.exe$")
| table _time Computer SourceImage TargetImage GrantedAccess CallTrace

…