Breaking down process injection (T1055)

Was ist eine Prozessinjektion?

Cyberangriffe können aus einer allgemeinen Perspektive in zwei Phasen unterteilt werden. In der ersten Phase wird in den Netzwerkperimeter eingebrochen, während in der zweiten Phase das Zielnetzwerk durchsucht wird. In der zweiten Phase bleibt der Angreifer vorzugsweise unentdeckt und setzt verschiedene Techniken ein, um dies zu erreichen.

Eine Technik zur Umgehung von Sicherheitsmechanismen (ID: TA0005) des MITRE ATT&CK-Frameworks, die Angreifer verwenden, ist die Prozessinjektion (ID: T1055). Dabei wird ein benutzerdefinierter Code innerhalb des Adressraums eines anderen Prozesses ausgeführt. Da die Ausführung hinter einem berechtigten Prozess verborgen ist, kann die Prozessinjektion unentdeckt bleiben.

Prozessinjektion verstehen

Bei der Prozessinjektion wird ein bösartiger Code in eine Webanwendung eingegeben, mit der der Benutzer interagiert. Der injizierte Code wird im Zielprozess ausgeführt und manipuliert dessen Verhalten. Er kann Zugriff auf sensible Daten gewähren oder die Ressourcen des Systems ausnutzen.

Schauen wir uns die Prozessinjektionstechnik anhand eines Anwendungsfalls genauer an, um besser zu verstehen, wie sie funktioniert.

Stellen Sie sich einen Angreifer vor, der versucht, Anmeldedaten abzugreifen und nicht autorisierte Transaktionen in einer Online-Banking-Anwendung durchzuführen. Zu diesem Zweck kann er die Prozessinjektion einsetzen.

Die Schritte der Prozessinjektion erläutert:

• Zielauswahl: Der Angreifer sucht nach einem Zielprozess und wählt diesen basierend auf seinen Berechtigungen aus.
• Aufklärung: Das Zielsystem wird untersucht und potenzielle Schwachstellen werden identifiziert.
• Speicherallokation: Der Angreifer weist dem Zielprozess Speicher zu, um den schädlichen Code zu speichern.
• Code-Injektion: Die Bedrohungsakteure entwickeln einen schädlichen Code, der in den Zielprozess injiziert werden soll. Diese Injektion kann mit verschiedenen Techniken erfolgen.
• Ausführung: Nach erfolgreicher Injektion führt der Code Aktionen wie Privilegienerweiterung, Datendiebstahl, Befehlsausführung usw. aus.
• Umgehung: Der eingeschleuste Code verwendet verschiedene Umgehungstaktiken, um Sicherheitssysteme zu umgehen.

Techniken der Prozessinjektion

Die Prozessinjektion kann durch den Einsatz vieler unterschiedlicher Taktiken erfolgen, wie z. B. DLL-Injektion (Dynamic Link Library), Process Hollowing, Portable Executable (PE) Injection, Extra Window Memory Injection und andere. Unter all diesen Methoden ist die DLL-Injektion die am häufigsten von Angreifern eingesetzte Technik.

DLL-Injektion ist eine Technik, bei der eine bestimmte Dateiform – eine DLL (Dynamic Link Library) – in einen Zielprozess eingeschleust wird. Ein Prozess ist dabei einfach eine laufende Instanz eines Softwareprogramms. Durch das Injizieren einer DLL in einen solchen Prozess erhält der Angreifer Zugriff auf dessen Speicher und kann dessen Ressourcen mitnutzen. DLLs enthalten wiederverwendbaren Code, der von mehreren Programmen gleichzeitig verwendet werden kann – genau das macht sie für Angreifer attraktiv.

DLL-Injection kann zwar für normale Vorgänge verwendet werden, z. B. um die reibungslose Zusammenarbeit zweier Programme zu gewährleisten, sie kann jedoch auch für böswillige Zwecke ausgenutzt werden. Es gibt verschiedene Methoden, um DLL-Injection durchzuführen, dazu gehören folgende Techniken:

• Load library: Mit dieser Methode wird Code aus einer DLL geladen und ausgeführt.
• Create remote thread: Hierbei handelt es sich um eine Window-API, die das Einschleusen von Code in einen anderen Prozess ermöglicht und diesen als Teil desselben ausführt.
• SetWindowsHookEx: Dies ist eine Funktion, die ausgenutzt wird, um durch die Installation von Hook-Prozeduren Code in einen anderen Prozess einzuschleusen.

Erkennung und Abwehr von Prozessinjektion

DLL-Injection-Angriffe sind sehr gut getarnt und daher schwer zu erkennen. Ein gutes Verständnis des Angriffsmechanismus kann uns jedoch dabei helfen, Wege zu finden, ihn zu erkennen.

Im Folgenden werden einige Möglichkeiten zur Erkennung von DLL-Injection-Angriffen beschrieben:

• Identifizieren Sie ungewöhnliche oder nicht autorisierte DLL-Lade- und Injektionsversuche, indem Sie die relevanten API-Aufrufe beobachten. Funktionsaufrufe, die mit dem Laden und der Injektion von DLLs verbunden sind, können mithilfe von API-Hooking-Strategien verfolgt werden.
• Erstellen Sie eine Datenbank mit Hashes oder Signaturen für bekannte schädliche DLLs und scannen Sie Prozesse, Speicher und geladene DLLs mithilfe von Antivirus- oder Anti-Malware-Tools auf Übereinstimmungen mit diesen Signaturen.
• Um verdächtige Aktivitäten zu erkennen, behalten Sie die Prozesse und ihre Interaktionen im Auge. Identifizieren Sie Prozesse, die sich seltsam verhalten, Code in andere Prozesse einfügen oder DLLs von ungewöhnlichen Speicherorten laden.
• Suchen Sie in den Systemprotokollen nach Anzeichen für DLL-Injection-Angriffe. Achten Sie auf Anomalien, Warnungen oder unerwartete DLL-Ladeereignisse, die auf einen laufenden Angriff hinweisen können.

Um DLL-Injection-Angriffe zu entschärfen, können wir Laufzeitschutzmaßnahmen implementieren, die DLL-Injection-Bedrohungen sofort erkennen und stoppen, und Sicherheitslösungen für Endgeräte verwenden, die bestimmte Verhaltensmuster erkennen. Durch das Einrichten strenger Prüf- und Bereinigungsmechanismen für Eingaben, können wir verhindern, dass Anwendungen nicht vertrauenswürdige Daten verarbeiten – und trägt so wesentlich zur Sicherheit bei. Wir können auch Maßnahmen zur Systemhärtung ergreifen und Dateiberechtigungen einschränken. Allerdings kann eine einzelne Maßnahme keinen vollständigen Schutz vor Angriffen gewährleisten. Es wird empfohlen, einen mehrstufigen Ansatz zu verfolgen, der mehrere Sicherheitskontrollen und Benutzersensibilisierung kombiniert.