❌ Миф: если DLL подписана Microsoft, её загрузка безопасна

Привет! При расследовании находите процесс с оригинальными DLL Microsoft. Подписи действительны, хеши совпадают. Но это ещё не повод исключать DLL Hijacking.

👨‍💻 Условно, приложение ищет библиотеку helper.dll по имени, без полного пути. Если каталог атакующего участвует в поиске раньше нужного расположения, Windows может загрузить подставную DLL.

⚡️Чтобы приложение не падало, атакующий может использовать DLL Proxying: его библиотека принимает вызовы и перенаправляет их в оригинальную. А свой код запускает при загрузке.

🚨 Иногда подменять даже основную библиотеку не требуется. Приложение загружает настоящую DLL Microsoft, а у неё есть зависимость, которую Windows тоже ищет по имени. Через такую зависимость можно добиться загрузки постороннего кода.

⚙️ Проверить загрузку библиотек помогает Sysmon Event ID 7. Он показывает путь к DLL, процесс, хеш и сведения о подписи, если сбор таких событий включён.

👀Например, helper.dll загружается из %APPDATA%, хотя обычно должна находиться в каталоге программы. Стоит проверить, кто создал файл и почему приложение выбрало именно этот путь.

P.S. При DLL Hijacking оригинальная библиотека может оставаться совершенно нетронутой. Поэтому проверка одних только цифровых подписей такую атаку не выявит.

#Мифы #DLLHijacking #Windows #Infosec

🤖Бесплатный ChatGPT