Un antivirus peut être un vecteur d’attaque.
On s’injecte dans le process, ou à l’extérieur. On peut aussi injecter une charge utile dans un process qui tourne en tâche de fond (Chrome par exemple), et à partir de là, notre virus vit (thread par exemple) comme un processus tiers, à l’instar d’un parasite.
Chaîne de Markov sur les sous-domaines.
La taille du payload est extrêmement importante (exfiltration DNS, ça peut être long).
Stocker les logs sur bande magnétique qui ne coûte quasiment rien. Une attaque, entre le premier accès et le moment où on la constate : 6 mois, un an, 5 ans. Utile en cas de besoin forensic, notamment dans le cadre de secteurs critiques.
Objectifs
- dissimuler l’origine du code ;
- contourner les mécanismes de sécurité (typiquement le firewall qui suspecterait la malveillance de nos requêtes DNS) ;
- exploiter les privilèges ou exploiter la confiance d’un processus déjà lancé.
Distinctions
Les méthodes d’injection se distinguent par :
- le type de mémoire cible ;
- les APIs Windows employées ;
- la furtivité face aux solutions EDR/AV.