🎤 Windows сама заносит чужой код в память. PhantomBuffer превратил поле ввода в лазейку для EDR

Текстовое поле Windows оказалось неожиданным каналом для внедрения исполняемого кода в чужой процесс. Разработчик под псевдонимом Two Seven One Three 17 октября представил PhantomBuffer, экспериментальный инструмент обхода EDR, систем мониторинга угроз на компьютере.

По словам автора, проверка на одном неназванном защитном продукте прошла без предупреждений.

Обычно внедрение кода требует выделить память в другом процессе, записать туда полезную нагрузку и запустить выполнение. За такими действиями следят EDR, в том числе по вызовам VirtualAllocEx и WriteProcessMemory.

PhantomBuffer обходит оба вызова, используя штатный механизм Windows. Похожий способ скрывать внедрение кода ранее показали с помощью DLL.

🎤 Ссылка на чтиво

White Hat / max.ru/kind_hack