hunting-for-process-injection-techniques
Faz seu agente detectar quando um programa malicioso se esconde dentro de outro programa. Ajuda a encontrar ameaças que tentam disfarçar suas ações.
O que ela faz
Esta ferramenta procura por maneiras de esconder código malicioso dentro de outros programas em computadores Windows. Ela analisa logs de segurança para encontrar atividades suspeitas que podem indicar um ataque.
Quando usar
- ✓Quando você suspeita que um ataque está tentando se esconder em seu computador.
- ✓Ao investigar incidentes de segurança para entender como os ataques aconteceram.
- ✓Para verificar se suas ferramentas de segurança estão prontas para detectar esses tipos de ataques.
Exemplo do que pedir para a IA
“Procure por injeção de código em processos suspeitos.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
Ela compara informações de eventos de segurança (Sysmon) que registram quando um programa cria ou acessa outro. Se um programa acessa outro de uma forma incomum ou perigosa, a ferramenta sinaliza isso como suspeito.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill hunting-for-process-injection-techniquesOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/hunting-for-process-injection-techniques/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Caçando Técnicas de Injeção de Processos
Visão Geral
A injeção de processos (MITRE ATT&CK T1055) permite que adversários executem código no espaço de endereço de outro processo, possibilitando evasão de defesa e escalonamento de privilégios. Esta habilidade detecta técnicas de injeção através do Evento Sysmon ID 8 (CreateRemoteThread), Evento ID 10 (ProcessAccess com direitos de acesso suspeitos) e análise de relacionamentos entre processos de origem e destino para distinguir injeções legítimas de maliciosas.
Quando Usar
- Ao investigar incidentes de segurança que exigem a caça por técnicas de injeção de processos
- Ao construir regras de detecção ou consultas de threat hunting para este domínio
- Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
- Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas
Pré-requisitos
- Sysmon instalado com os Event IDs 8 e 10 habilitados
- Logs de criação de processos (Sysmon Event ID 1 ou Windows 4688)
- Python 3.8+ com a biblioteca padrão
- Logs de eventos Sysmon em formato JSON
Passos
- Analisar Eventos Sysmon — Ingerir Event IDs 1, 8 e 10 de arquivos de log JSON
- Detectar CreateRemoteThread — Sinalizar Event ID 8 com pares de processos de origem-destino suspeitos
- Analisar Direitos de ProcessAccess — Identificar Event ID 10 com máscaras de acesso perigosas (PROCESS_VM_WRITE, PROCESS_CREATE_THREAD)
- Construir Grafo de Relacionamento de Processos — Mapear relacionamentos de injeção de origem para destino
- Filtrar Pares Legítimos Conhecidos — Excluir padrões de injeção benignos conhecidos (AV, depuradores, processos do sistema)
- Pontuar Severidade da Injeção — Aplicar pontuação de risco com base no processo de origem, processo de destino e direitos de acesso
- Gerar Relatório de Caça — Produzir relatório estruturado com mapeamento de sub-técnicas MITRE
Saída Esperada
- Relatório JSON de eventos de injeção detectados com pontuações de severidade
- Grafo de relacionamento de injeção de processos
- Mapeamento de sub-técnicas MITRE ATT&CK (T1055.001-T1055.012)
- Recomendações de exclusão de falsos positivos
Perguntas frequentes
O que é 'injeção de processo'?
É uma técnica usada por atacantes para executar código malicioso dentro de um programa legítimo, tornando mais difícil de detectar.
Quais programas são necessários?
Você precisa ter o Sysmon instalado e configurado para registrar eventos específicos, além de ter os logs de segurança em formato JSON.
O que a ferramenta faz com os resultados?
Ela gera um relatório com os eventos suspeitos encontrados, indica o nível de risco e sugere como evitar falsos alarmes.
Detalhes
Descrição original do autor
Detects process injection techniques (MITRE T1055) — including CreateRemoteThread injection, process hollowing, and DLL injection — by analyzing Sysmon Event IDs 8 (CreateRemoteThread) and 10 (ProcessAccess) alongside EDR process telemetry. Use when hunting for in-memory code injection or defense evasion via legitimate process abuse on Windows endpoints.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5804
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
data-throughput-accelerator
Faz seu agente acelerar a movimentação de grandes volumes de dados. Ele encontra gargalos e garante que os dados sejam transferidos de forma rápida e correta.
affaan-m/ECC
inventory-demand-planning
Ajuda seu agente a prever a demanda de produtos em lojas. Ele otimiza o estoque e planeja quando fazer promoções para vender mais.
affaan-m/ECC
market-research
Ajuda seu agente a realizar pesquisas de mercado e análises competitivas. Fornece resumos com atribuição de fontes.
affaan-m/ECC