Header Image

Main Injection: Secuestrando puntos de entrada

La capacidad de inyectar código arbitrario en otro proceso del sistema sin ser detectado por los EDRs es fundamental a la hora de ejecutar un ejercicio de Red Team. En esta charla, se presentará un nuevo método de inyección de código “threadless” para equipos con sistema operativo Windows a través del secuestro de puntos de entrada de DLLs que rompe con los patrones habituales utilizados en la actualidad.

El continuo desarrollo del conocido como “juego del gato y el ratón” que lleva a desarrolladores de malware y de sistemas de EDR a competir entre ellos para intentar anular al otro ha permitido a los EDR mejorar enormemente sus capacidades a la hora de detectar la inyección de código en un proceso remoto. Parte de este éxito se debe a que la gran mayoría de técnicas de inyección de código en equipos con sistema operativo Windows siguen una misma secuencia de acciones conocida: alojamiento de memoria, escritura de payload y generación de un nuevo hilo para ejecutar el código malicioso, todo ello involucrando a un proceso origen y a un proceso destino.

A pesar de que existen numerosas maneras de llevar a cabo dichas acciones combinando una gran cantidad de funciones del API de Windows al final la lógica siempre es la misma, por lo que para poder evadir a los EDRs empiezan a surgir alternativas que intentan romper con esta tendencia.

octubre 5 @ 17:30

17:30

– 18:20

(50′)

Sala CrowdStrike

Kurosh Dabbagh Escalante