Mövzunu Açan
#0
Process Hollowing, kötü niyetli yazılımların hedef sistemlerde uygulama süreçlerini manipüle etme yöntemlerinden biridir. Bu teknik, bir işlem oluşturulduktan sonra, bu işlemin bellek alanının kötü amaçlı kod ile değiştirilmesiyle gerçekleştirilir. MITRE ATT&CK çerçevesinde T1055.012 kodu ile tanımlanan bu yöntem, siber saldırganların hedef sistemlerde daha görünmez bir şekilde hareket etmelerini sağlar.
Process Hollowing süreci genellikle aşağıdaki adımları içerir:
Process Hollowing, sistemin güvenlik yazılımları tarafından tespit edilmesini zorlaştırır çünkü hedef uygulama hala çalışmakta ve meşru görünmektedir. Dolayısıyla, bu teknik siber güvenlik uzmanları ve organizasyonlar için ciddi bir tehdit oluşturmaktadır.
Bu yöntemin etkisiz hale getirilmesi için önerilen bazı savunma önlemleri arasında davranış tabanlı izleme sistemleri, anormallik tespiti ve uygulama beyaz listeleme gibi yöntemler bulunmaktadır. Özellikle, sistem yöneticileri için düzenli güncellemeler ve güvenlik yamalarının uygulanması, bu tür saldırılara karşı savunmayı güçlendirebilir.
Process Hollowing hakkında daha fazla bilgi ve deneyimlerinizi paylaşmak, konunun daha iyi anlaşılmasına katkı sağlayacaktır.
Process Hollowing süreci genellikle aşağıdaki adımları içerir:
- Yeni Bir İşlem Oluşturma: İlk olarak, saldırgan hedef işletim sisteminde meşru bir uygulama işlemi başlatır. Bu işlem genellikle sistemin ya da kullanıcının güvenilir bulduğu bir uygulama olabilir.
- Hafıza Yönetimi: Oluşturulan işlem, "VirtualAllocEx" gibi API'ler kullanılarak bellek alanı ayırır. Bu aşamada, hedef uygulamanın hafıza alanı için gerekli tüm kaynaklar tahsis edilir.
- Kötü Amaçlı Kodun Enjekte Edilmesi: Saldırgan, kendi kötü amaçlı kodunu, daha önce tahsis edilen bellek alanına kopyalar. Bu adımda "WriteProcessMemory" API'si kullanılır.
- İşlemin Başlatılması: Son olarak, "CreateRemoteThread" ya da "NtCreateThreadEx" API'leri ile kötü amaçlı kod çalıştırılır. Böylece, hedef işlem, artık saldırganın kontrolündeki kötü amaçlı kodu yürütmeye başlar.
Process Hollowing, sistemin güvenlik yazılımları tarafından tespit edilmesini zorlaştırır çünkü hedef uygulama hala çalışmakta ve meşru görünmektedir. Dolayısıyla, bu teknik siber güvenlik uzmanları ve organizasyonlar için ciddi bir tehdit oluşturmaktadır.
Bu yöntemin etkisiz hale getirilmesi için önerilen bazı savunma önlemleri arasında davranış tabanlı izleme sistemleri, anormallik tespiti ve uygulama beyaz listeleme gibi yöntemler bulunmaktadır. Özellikle, sistem yöneticileri için düzenli güncellemeler ve güvenlik yamalarının uygulanması, bu tür saldırılara karşı savunmayı güçlendirebilir.
Process Hollowing hakkında daha fazla bilgi ve deneyimlerinizi paylaşmak, konunun daha iyi anlaşılmasına katkı sağlayacaktır.