Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 13:13:41 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/reversing/common-api-used-in-malware.md

11 KiB
Raw Blame History

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Trouvez les vulnérabilités les plus importantes afin de pouvoir les corriger plus rapidement. Intruder suit votre surface d'attaque, effectue des analyses de menaces proactives, trouve des problèmes dans l'ensemble de votre pile technologique, des API aux applications web et aux systèmes cloud. Essayez-le gratuitement dès aujourd'hui.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

Générique

Réseau

Sockets bruts Sockets WinAPI
socket() WSAStratup()
bind() bind()
listen() listen()
accept() accept()
connect() connect()
read()/recv() recv()
write() send()
shutdown() WSACleanup()

Persistance

Registre Fichier Service
RegCreateKeyEx() GetTempPath() OpenSCManager
RegOpenKeyEx() CopyFile() CreateService()
RegSetValueEx() CreateFile() StartServiceCtrlDispatcher()
RegDeleteKeyEx() WriteFile()
RegGetValue() ReadFile()

Cryptage

Nom
WinCrypt
CryptAcquireContext()
CryptGenKey()
CryptDeriveKey()
CryptDecrypt()
CryptReleaseContext()

Anti-Analyse/VM

Nom de la fonction Instructions d'assemblage
IsDebuggerPresent() CPUID()
GetSystemInfo() IN()
GlobalMemoryStatusEx()
GetVersion()
CreateToolhelp32Snapshot [Vérifier si un processus est en cours d'exécution]
CreateFileW/A [Vérifier si un fichier existe]

Furtivité

Nom
VirtualAlloc Allouer de la mémoire (packers)
VirtualProtect Modifier les autorisations de mémoire (packer donnant l'autorisation d'exécution à une section)
ReadProcessMemory Injection dans des processus externes
WriteProcessMemoryA/W Injection dans des processus externes
NtWriteVirtualMemory
CreateRemoteThread Injection de DLL/processus...
NtUnmapViewOfSection
QueueUserAPC
CreateProcessInternalA/W

Exécution

Nom de la fonction
CreateProcessA/W
ShellExecute
WinExec
ResumeThread
NtResumeThread

Divers

  • GetAsyncKeyState() -- Enregistrement des touches
  • SetWindowsHookEx -- Enregistrement des touches
  • GetForeGroundWindow -- Obtenir le nom de la fenêtre en cours d'exécution (ou le site web d'un navigateur)
  • LoadLibrary() -- Importer une bibliothèque
  • GetProcAddress() -- Importer une bibliothèque
  • CreateToolhelp32Snapshot() -- Liste des processus en cours d'exécution
  • GetDC() -- Capture d'écran
  • BitBlt() -- Capture d'écran
  • InternetOpen(), InternetOpenUrl(), InternetReadFile(), InternetWriteFile() -- Accéder à Internet
  • FindResource(), LoadResource(), LockResource() -- Accéder aux ressources de l'exécutable

Techniques de Malware

Injection de DLL

Exécutez une DLL arbitraire à l'intérieur d'un autre processus

  1. Localisez le processus dans lequel injecter la DLL malveillante : CreateToolhelp32Snapshot, Process32First, Process32Next
  2. Ouvrez le processus : GetModuleHandle, GetProcAddress, OpenProcess
  3. Écrivez le chemin de la DLL à l'intérieur du processus : VirtualAllocEx, WriteProcessMemory
  4. Créez un thread dans le processus qui chargera la DLL malveillante : CreateRemoteThread, LoadLibrary

Autres fonctions à utiliser : NTCreateThreadEx, RtlCreateUserThread

Injection de DLL réfléchie

Chargez une DLL malveillante sans appeler les appels d'API Windows normaux.
La DLL est mappée à l'intérieur d'un processus, elle résoudra les adresses d'importation, corrigera les relocalisations et appellera la fonction DllMain.

Détournement de thread

Trouver un thread d'un processus et le charger avec une DLL malveillante

  1. Trouver un thread cible : CreateToolhelp32Snapshot, Thread32First, Thread32Next
  2. Ouvrir le thread : OpenThread
  3. Suspendre le thread : SuspendThread
  4. Écrire le chemin de la DLL malveillante dans le processus victime : VirtualAllocEx, WriteProcessMemory
  5. Reprendre le thread en chargeant la bibliothèque : ResumeThread

Injection PE

Injection d'exécution portable : L'exécutable sera écrit dans la mémoire du processus victime et sera exécuté à partir de là.

Processus creux

Le logiciel malveillant va désallouer le code légitime de la mémoire du processus et charger un binaire malveillant

  1. Créer un nouveau processus : CreateProcess
  2. Désallouer la mémoire : ZwUnmapViewOfSection, NtUnmapViewOfSection
  3. Écrire le binaire malveillant dans la mémoire du processus : VirtualAllocEx, WriteProcessMemory
  4. Définir le point d'entrée et exécuter : SetThreadContext, ResumeThread

Hooking

  • La SSDT (System Service Descriptor Table) pointe vers des fonctions du noyau (ntoskrnl.exe) ou du pilote GUI (win32k.sys) afin que les processus utilisateur puissent appeler ces fonctions.
  • Un rootkit peut modifier ces pointeurs vers des adresses qu'il contrôle.
  • Les IRP (I/O Request Packets) transmettent des morceaux de données d'un composant à un autre. Presque tout dans le noyau utilise des IRP et chaque objet de périphérique a sa propre table de fonctions qui peut être accrochée : DKOM (Direct Kernel Object Manipulation)
  • La IAT (Import Address Table) est utile pour résoudre les dépendances. Il est possible d'accrocher cette table afin de détourner le code qui sera appelé.
  • Accrochage de la EAT (Export Address Table). Ces accrochages peuvent être réalisés depuis l'espace utilisateur. Le but est d'accrocher les fonctions exportées par les DLL.
  • Accrochage en ligne : Ce type est difficile à réaliser. Cela implique de modifier le code des fonctions elles-mêmes. Peut-être en plaçant un saut au début de celles-ci.

Trouvez les vulnérabilités les plus importantes afin de pouvoir les corriger plus rapidement. Intruder suit votre surface d'attaque, effectue des analyses de menaces proactives, trouve des problèmes dans toute votre pile technologique, des API aux applications web et aux systèmes cloud. Essayez-le gratuitement dès aujourd'hui.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥