前言
進程注入是一種廣泛使用的躲避檢測的技術，通常用於惡意軟件或者無文件技術。其需要在另一個進程的地址空間內運行特製代碼，進程注入改善了不可見性，同時一些技術也實現了持久性。儘管目前有許多進程注入技術，但在這篇文章中，我將會介紹十種在野發現的，在另一個程序的地址空間執行惡意代碼的進程注入技術，並提供這些技術應用的截圖，以便於逆向工程和惡意軟件分析，然後協助檢測並防禦這些進程注入技術。
一、通過CREATE REMOTE THREAD 和 LOAD LIBRARY 進行經典DLL注入
該技術是用於將惡意軟件代碼注入另一個進程最常用技術之一，惡意軟件作者將惡意的動態鏈接庫（DLL）的路徑寫入另一個進程的虛擬地址空間，並通過在目標進程中創建一個遠程線程來確保目標進程加載它。
惡意軟件首先需要選擇被注入的目標進程（例如svchost.exe），這通常可以通過調用三個應用編程接口（API）搜索進程來完成：CreateToolhelp32Snapshot，Process32First和Process32Next。CreateToolhelp32Snapshot是用於枚舉指定進程或所有進程的堆或模塊狀態的API，其會返回一個快照。Process32First會檢索有關快照中第一個進程的信息，然後通過循環Process32Next來迭代。找到目標進程後，惡意軟件通過調用OpenProcess獲取目標進程的句柄。
如圖一所示，惡意軟件調用VirtualAllocEx來獲得寫入其DLL路徑的空間。然後惡意軟件調用WriteProcessMemory在已分配的內存中寫入路徑。最後，爲了讓代碼在另一個進程中執行，惡意軟件作者會調用API，例如CreateRemoteThread，NtCreateThreadEx或RtlCreateUserThread。後兩個並未存在應用記錄，但是一般的想法就是將LoadLibrary的地址傳遞給其中一個API，以便遠程進程不得不代表惡意軟件執行DLL。
很多殺毒軟件都會追蹤和標記CreateRemoteThread，此外，注入也需要磁盤上存在惡意DLL。但這是可以被檢測到的。考慮到攻擊者最常通過注入代碼以逃避檢測，所以一些老練的攻擊者可能並不會使用這種方法。下面的截圖展示了一個叫Rebhip的惡意軟件應用了此技術。
二、PORTABLE EXECUTABLE 注入（PE注入）
這種技術斌沒有傳遞LoadLibrary的地址，而是將其惡意代碼複製到已存在的開放進程並執行（通過shellcode或調用CreateRemoteThread）。PE注入相對於LoadLibrary注入的一個優點是惡意軟件不必在磁盤上放一個惡意DLL。與第一種技術類似，惡意軟件在宿主進程中分配到內存，其並沒有編寫“DLL路徑”，而是通過調用WriteProcessMemory來編寫其惡意代碼。然而，這種方法的一個缺陷是目標基址的改變，當惡意軟件將其PE注入到另一個進程時，其會有一個新的不可預測的基址，這就要求其動態地重新計算PE的地址。爲了解決這個問題，惡意軟件需要在宿主進程中找到其重定位表地址，並通過循環其重定位描述符來解析絕對地址。
此技術類似於其他技術，例如反射式DLL，因爲它們不會將任何文件放在磁盤，但是，反射式DLL注入方法甚至會更加隱蔽。它們不依賴於任何額外的Windows API（例如CreateRemoteThread或LoadLibrary），因爲它們在內存中加載和執行自己。反射式DLL注入通過創建一個DLL來實現，該DLL在執行時將自身映射到內存，而不是依賴於Windows的loader。
在分析PE注入時，調用CreateRemoteThread之前通常會看到循環（通常是兩個“for”循環，一個嵌套在另一箇中）這種技術在crypter（加密和混淆惡意軟件的軟件）中非常流行。在圖二中，樣本的單元測試中正在利用這種技術。代碼有兩個嵌套循環來調整其重定位表，可以在調用WriteProcessMemory和CreateRemoteThread之前看到它。“AND 0x0fff”指令是另一個好指示，表明前12位用於獲取包含重定位塊的虛擬地址的偏移量。既然惡意軟件已經重新計算了所有必要的地址，那麼它需要做的只是將其起始地址傳遞給CreateRemoteThread並讓它執行。
三、PROCESS HOLLOWING技術（又名 PROCESS REPLACEMENT AND RUNPE）
惡意軟件可以不用將代碼注入宿主程序，而是利用Process Hollowing技術。當惡意軟件從目標進程中取消映射，並使用惡意可執行文件覆蓋目標進程的內存空間時，會發生Process Hollowing。
惡意軟件首先會創建一個新進程，以掛起模式託管惡意代碼，如圖三所示，這是通過調用CreateProcess並將Process Creation Flag設置爲CREATE_SUSPENDED（0×00000004）來完成的。新進程的主線程是在掛起狀態下創建的，並且在調用ResumeThread函數之前不會執行。接下來，惡意軟件需要使用惡意載荷交換合法文件的內容，這是通過調用ZwUnmapViewOfSection或NtUnmapViewOfSection來取消映射目標進程的內存完成的。這兩個API基本上釋放了一個區的所有內存。現在內存處於未映射狀態，loader執行VirtualAllocEx爲惡意軟件分配新內存，並使用WriteProcessMemory將每個惡意軟件的部分寫入目標進程空間。而惡意軟件通過調用SetThreadContext將入口點指向它已編寫的新代碼段。最後，惡意軟件通過調用ResumeThread恢復掛起的線程，使進程退出掛起狀態。
四、線程執行劫持技術（或者說SUSPEND, INJECT, AND RESUME (SIR)）
該技術與先前討論的Process Hollowing技術有一些相似之處。在線程執行劫持中，惡意軟件以進程的現有線程爲目標，並避免任何其他的進程或線程創建操作。因此，在分析期間，你可能會看到對CreateToolhelp32Snapshot和Thread32First的調用，然後是OpenThread。
獲取目標線程的句柄後，惡意軟件通過調用SuspandThread來掛起這個線程，然後調用VirtualAllocEx和WriteProcessMemory來分配內存並執行代碼注入。代碼可以包含shellcode，惡意DLL的路徑以及LoadLibrary的地址。
圖4展示了使用這種技術的通用木馬。爲了劫持線程的執行，惡意軟件通過調用SetThreadContext來修改目標線程的EIP寄存器（包含下一條指令的地址的寄存器）。之後，惡意軟件恢復線程來執行它已寫入主機進程的shellcode。從攻擊者的角度來看，SIR方法可能會出問題，因爲在系統調用過程中掛起和恢復線程會導致系統崩潰。爲了避免這種情況，如果EIP寄存器在NTDLL.dll範圍內，複雜一點的惡意軟件會稍後重新嘗試。
五、通過SET WINDOWS HOOKEX進行HOOK注入
HOOK是一種攔截函數調用的技術，惡意軟件可以利用HOOK的功能在特定線程中觸發事件時加載其惡意DLL。這通常通過調用SetWindowsHookEx將hook routine安裝到HOOK鏈中來完成。SetWindowsHookEx函數有四個參數。第一個參數是事件的類型。事件反映了HOOK類型的範圍，從鍵盤上的按鍵（WH_KEYBOARD）到鼠標輸入（WH_MOUSE），CBT等等。第二個參數是指向惡意軟件想要在事件上調用的函數的指針。第三個參數是包含該函數的模塊。因此，在調用SetWindowsHookEx之前，通常會看到對LoadLibrary和GetProcAddress的調用。此函數的最後一個參數是與HOOK過程相關聯的線程。如果此值設置爲零，則所有線程都會在觸發事件時執行操作。但是，惡意軟件通常針對一個線程以降低噪聲，因此在SetWindowsHookEx之前也可以看到調用CreateToolhelp32Snapshot和Thread32Next來查找和定位單個線程。注入DLL後，惡意軟件代表其threadId傳遞給SetWindowsHookEx函數的進程執行其惡意代碼。在圖5中，Locky Ransomware實現了這種技術。
六、通過修改註冊表實現注入和持久性
Appinit_DLL，AppCertDlls和IFEO（映像文件執行選項）都是惡意軟件用於注入和持久性的註冊表項。條目位於以下位置：
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls
HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls
HKLM\System\CurrentControlSet\Control\Session Manager\AppCertDlls
HKLM\Software\Microsoft\Windows NT\currentversion\image file execution options
AppInit_DLLs
惡意軟件可以在Appinit_Dlls註冊表項下插入其惡意庫的位置，以使另一個進程加載其庫。此註冊表項下的每個庫都會加載到每個加載User32.dll的進程中。User32.dll是一個非常常見的庫，用於存儲對話框等圖形元素。因此，當惡意軟件修改此子鍵時，大多數進程將加載惡意庫。圖6展示了Ginwui依賴這種注入和持久性方法的木馬。它只是通過調用RegCreateKeyEx打開Appinit_Dlls註冊表項，並通過調用RegSetValueEx來修改其值。
AppCertDlls
此方法與AppInit_DLLs方法非常相似，只是此註冊表項下的DLL被加載到調用Win32 API函數CreateProcess，CreateProcessAsUser，CreateProcessWithLogonW，CreateProcessWithTokenW和WinExec的每個進程中。
映像文件執行選項（IFEO）
IFEO通常用於調試目的。開發人員可以在此註冊表項下設置“調試器值”，以將程序附加到另一個可執行文件以進行調試。因此，每當啓動可執行文件時，會啓動附加到它的程序。要使用此功能，你只需提供調試器的路徑，並將其附加到要分析的可執行文件。惡意軟件可以修改此註冊表項以將其自身注入目標可執行文件。在圖7中，Diztakun木馬通過修改任務管理器的調試器值來實現此技術。
七、APC注入和ATOMBOMBING
惡意軟件可以利用異步過程調用（APC）通過將其附加到目標線程的APC隊列來強制另一個線程執行其特製代碼。每個線程都有一個APC隊列，它們等待目標線程進入可變狀態時執行。如果線程調用SleepEx，SignalObjectAndWait，MsgWaitForMultipleObjectsEx，WaitForMultipleObjectsEx或WaitForSingleObjectEx函數，則線程進入可更改狀態。惡意軟件通常會查找處於可更改狀態的任何線程，然後調用OpenThread和QueueUserAPC將APC排入線程。 QueueUserAPC有三個參數：
1）目標線程的句柄;
2）指向惡意軟件想要運行的功能的指針;
3）傳遞給函數指針的參數。
在圖8中，Amanahe惡意軟件首先調用OpenThread來獲取另一個線程的句柄，然後通過LoadLibraryA調用QueueUserAPC作爲函數指針，將其惡意DLL注入另一個線程。
AtomBombing是一項由enSilo研究首次引入的技術，然後用於Dridex V4。 正如我們在前一篇文章中詳細討論的那樣，該技術也依賴於APC注入。 但是，它使用原子表寫入另一個進程的內存。
八、通過SETWINDOWLONG進行附加窗口內存注入（EWMI）
EWMI依賴於注入資源管理器托盤窗口的額外窗口內存，並且已經在Gapz和PowerLoader等惡意軟件系列中應用過幾次。註冊窗口類時，應用程序可以指定一些額外的內存字節，稱爲額外窗口內存（EWM）。但是，EWM的空間不大。爲了規避此限制，惡意軟件將代碼寫入explorer.exe的共享部分，並使用SetWindowLong和SendNotifyMessage使用指向shellcode的函數指針，然後執行它。
在寫入共享部分時，惡意軟件有兩種選擇。它既可以創建共享空間，也可以將其映射到自身和另一個進程（例如explorer.exe），也可以只打開已存在的共享空間。除了一些其他API調用之外，前者還有分配堆空間和調用NTMapViewOfSection的開銷，因此後一種方法更常用。在惡意軟件將其shellcode寫入共享部分後，它使用GetWindowLong和SetWindowLong來訪問和修改“Shell_TrayWnd”的額外窗口內存。GetWindowLong是一個API，用於將指定偏移量的32位值檢索到窗口類對象的額外窗口內存中，SetWindowLong用於更改指定偏移量的值。這樣一來，惡意軟件可以簡單地更改窗口類中的函數指針的偏移量，並將其指向寫入共享部分的shellcode。
與上面提到的大多數其他技術一樣，惡意軟件需要觸發它特製的代碼。在先前討論的技術中，惡意軟件通過調用諸如CreateRemoteThread，QueueUserAPC或SetThreadContext之類的API來實現此目的。使用此方法，惡意軟件會通過調用SendNotifyMessage來觸發注入的代碼。執行SendNotifyMessage後，Shell_TrayWnd接收控制並將控制轉移到之前由SetWindowLong設置的值指向的地址。在圖9中，名爲PowerLoader的惡意軟件使用此技術。
九、SHIMS注入
Microsoft向開發人員提供SHIMS主要是爲了向後兼容。SHIMS允許開發人員將修補程序應用於他們的程序，而無需重寫代碼。通過利用SHIMS，開發人員可以告訴操作系統如何處理應用程序。SHIMS本質上是一種掛鉤API並定位特定可執行文件的方法。惡意軟件可以利用SHIMS來定位持久性和注入的可執行文件。Windows在加載二進制文件時運行Shim Engine以檢查SHIMS數據庫以應用適當的修復程序。
現在有許多方法應用修復程序，但惡意軟件的最愛是與安全相關的（例如，DisableNX，DisableSEH，InjectDLL等）。要安裝填充數據庫，惡意軟件可以部署各種方法。例如，一種常見的方法是簡單地執行sdbinst.exe，並將其指向惡意sdb文件。在圖10中，廣告軟件“按導管搜索保護”使用墊片進行持久性和注入。它在Google Chrome中執行“InjectDLL”填充程序以加載vc32loader.dll。有一些用於分析sdb文件的現有工具，但是爲了分析下面列出的sdb，我使用了python-sdb。
十、IAT HOOKING和INLINE HOOKING (或者叫應用層ROOTKITS)
IAT hooking和inline hooking通常稱爲userland rootkit。IAT hooking是惡意軟件用於更改導入地址表的技術。當合法應用程序調用位於DLL中的API時，其會執行替換的函數，而不是原始函數。相反，使用inline hooking，惡意軟件則會修改API函數本身。在圖11中，惡意軟件FinFisher通過修改CreateWindowEx指向的位置來執行IAT hooking。
總結
在這篇文章中，我介紹了惡意軟件用於在另一個進程中隱藏其活動的十種不同技術。通常，惡意軟件會直接將其shellcode注入另一個進程，或者強制另一個進程加載其惡意庫。在表1中，我對各種技術進行了分類，並提供了樣本作爲閱讀本文所涵蓋的每種注入技術的參考。
