Process Hollowing ist eine Verschleierung, bei der ein normales Programm startet und der Code in seinem Speicher ersetzt wird.
Dieser Text bleibt auf dieser Ergebnisebene und beschreibt keine Schritte, Werkzeuge oder Aufrufe zur Durchführung.
So funktioniert es
Nach außen trägt der Prozess noch den Namen und manchmal die Identität eines vertrauenswürdigen Programms.
Innen passen die laufenden Inhalte nicht mehr zur gestarteten Datei, und genau deshalb dient das Verfahren dem Verbergen.
Die Abwehr sucht den Widerspruch zwischen Datei auf der Platte und dem, was ausgeführt wird, sowie Programme, die ohne die übliche Nutzerhandlung starten.
Den Begriff zu kennen hilft Teams beim Erkennen, ohne die Beschreibung zu einer Anleitung zu machen.
Konkrete Beispiele
- Ein Hilfeprogramm scheint zu laufen, doch sein Speicher passt nicht zur signierten Datei auf der Platte.
- Ein Überwachungsdienst startet bei der Anmeldung, obwohl niemand ihn öffnete, und sein Abbild wirkt ersetzt.
- Eine Untersuchung findet einen vertrauten Prozessnamen, dessen geladene Inhalte zu einem anderen Programm gehören.
Schutzmaßnahmen
- Vergleichen Sie den laufenden Speicher mit der vertrauenswürdigen Datei auf der Platte und prüfen Sie Abweichungen.
- Alarmieren Sie, wenn vertrauenswürdige Programme ohne die Nutzer oder Diensthandlung starten, die sie sonst öffnet.
- Begrenzen Sie, wer unerwartete Programme starten darf, und bevorzugen Sie Anwendungskontrolle auf heiklen Arbeitsplätzen.
- Untersuchen Sie nach einem bekannten sauberen Ablauf aus Ihrem Vorfallplan, statt am lebenden Rechner zu experimentieren.