Процесс "опустошения": метод обнаружения вредоносных программ, который не могут обнаружить систем... скачать в хорошем качестве

Процесс "опустошения": метод обнаружения вредоносных программ, который не могут обнаружить систем...

Забудьте о стандартном внедрении DLL. Простое копирование файлов на диск — самый простой способ попасться современным EDR-серверам. Снова добро пожаловать в Suit Up & Hack! Сегодня мы создадим «цифрового кукловода». Мы напишем с нуля программу на C++, которая берет легитимный, доверенный исполняемый файл Windows (Notepad.exe), заполняет его память и заставляет его запустить calc.exe. В отличие от наших предыдущих уроков, этот метод не использует LoadLibrary. Вместо этого мы выполняем «цифровую хирургию» приостановленного процесса, чтобы перехватить его поток выполнения. В этом подробном уроке мы рассмотрим: 🔹 Теория: Почему заполнение памяти процессом противоречит статическому анализу. 🔹 Настройка: Использование CreateProcessA для запуска целевого процесса в приостановленном состоянии. 🔹 Хирургия: Выделение памяти с помощью VirtualAllocEx и запись необработанных байтов с помощью WriteProcessMemory. 🔹 Взлом: Использование GetThreadContext и SetThreadContext для манипулирования регистром RIP (x64) и перенаправления ЦП. 🔹 Демонстрация: Наблюдение за тем, как безобидный процесс Notepad извлекает нашу полезную нагрузку MSFvenom. ⚠️ Предупреждение: Это видео предназначено ТОЛЬКО для образовательных целей и авторизованных мероприятий по тестированию на проникновение. В продемонстрированном коде используются права RWX для демонстрационных целей, и его следует запускать в контролируемой лабораторной среде. 00:00 Введение в процесс «опустошения» (Process Hollowing) 00:26 Обзор внедрения DLL 00:52 Развитие методов: «опустошение» процесса 01:15 Первый этап: Создание приостановленного процесса 01:40 Второй этап: Внедрение вредоносного шелл-кода 02:04 Третий этап: Перехват процесса 02:48 Создание цифрового кукловода 03:17 Настройка шелл-кода 05:16 Выделение памяти в целевом процессе 06:51 Написание и выполнение шелл-кода 10:43 Заключение и основные выводы #разработкавредоносногопрограммногообеспечения #redteaming #кибербезопасность #cplusplus #этичныйхакинг #windowsinternals