Het kan schokkend zijn als u zich realiseert dat er een aanvalsvector in uw netwerk onder uw neus draait. U speelde uw rol door het implementeren van wat leek op een effectieve beveiligingsverdediging, maar de aanvaller slaagde er toch in om ze te omzeilen. Hoe was dat mogelijk?
Ze hadden procesinjectie kunnen inzetten door kwaadaardige codes in uw legitieme processen in te voegen. Hoe werkt procesinjectie en hoe kun je het voorkomen?
Wat is procesinjectie?
Procesinjectie is een proces waarbij een aanvaller kwaadaardige codes injecteert in een legitiem en actief proces in een netwerk. Overheersend met malware-aanvallen, stelt het cyberactoren in staat systemen op de meest bescheiden manieren te infecteren. Een geavanceerde cyberaanvaltechniek, de indringer plaatst malware in uw geldige processen en geniet van de privileges van die processen.
Hoe werkt procesinjectie?
De meest effectieve soorten aanvallen zijn aanvallen die op de achtergrond kunnen worden uitgevoerd zonder argwaan te wekken. Normaal gesproken kunt u een malwaredreiging detecteren door alle processen in uw netwerk in kaart te brengen en te onderzoeken. Maar het detecteren van procesinjectie is niet zo eenvoudig omdat de codes zich verbergen onder de schaduw van uw legitieme processen.
Aangezien u uw geautoriseerde processen op de witte lijst heeft gezet, zullen uw detectiesystemen ze als geldig certificeren zonder dat er iets mis is. Geïnjecteerde processen omzeilen ook schijfforensisch onderzoek omdat de kwaadaardige codes in het geheugen van het legale proces worden uitgevoerd.
De aanvaller gebruikt de onzichtbaarheid van de codes om toegang te krijgen tot alle aspecten van uw netwerk waartoe de legitieme processen waaronder ze zich verbergen toegang hebben. Dit omvat bepaalde beheerdersrechten die u niet zomaar aan iedereen zou toekennen.
Hoewel procesinjectie gemakkelijk onopgemerkt kan blijven, kunnen geavanceerde beveiligingssystemen ze detecteren. Cybercriminelen leggen de lat dus hoger door het uit te voeren op de meest bescheiden manieren die dergelijke systemen over het hoofd zullen zien. Ze gebruiken standaard Windows-processen zoals cmd.exe, msbuild.exe, explorer.exe, etc. om dergelijke aanvallen uit te voeren.
3 Procesinjectietechnieken
Er zijn verschillende procesinjectietechnieken voor verschillende doeleinden. Omdat actoren van cyberdreigingen zeer goed op de hoogte zijn van verschillende systemen en hun beveiligingsstatus, passen ze de meest geschikte techniek toe om hun slagingspercentage te vergroten. Laten we er een paar bekijken.
1. DLL-injectie
DLL-injectie (Dynamic Link Library) is een procesinjectietechniek waarbij de hacker een dynamische linkbibliotheek om een uitvoerbaar proces te beïnvloeden, waardoor het gedwongen wordt zich te gedragen op een manier die u niet van plan was of verwachten.
De aanval injecteert de code met de bedoeling de originele code in uw systeem te overschrijven en op afstand te besturen.
Compatibel met verschillende programma's, stelt DLL-injectie de programma's in staat de code meerdere keren te gebruiken zonder de geldigheid te verliezen. Om een DLL-injectieproces te laten slagen, moet de malware gegevens van het besmette DLL-bestand in uw netwerk bevatten.
2. PE-injectie
Een Portable Execution (PE) is een procesinjectiemethode waarbij een aanvaller een geldig en actief proces in uw netwerk infecteert met een schadelijk PE-image. Het is eenvoudiger dan andere procesinjectietechnieken omdat er geen shell-coderingsvaardigheden voor nodig zijn. Aanvallers kunnen de PE-code eenvoudig schrijven in standaard C++.
PE-injectie is schijfloos. De malware hoeft zijn gegevens niet naar een schijf te kopiëren voordat de injectie begint.
3. Proces uitholling
Process Hollowing is een procesinjectietechniek waarbij de aanvaller, in plaats van gebruik te maken van een bestaand legitiem proces, een nieuw proces maakt maar dit infecteert met schadelijke code. De aanvaller ontwikkelt het nieuwe proces als een svchost.exe-bestand of kladblok. Op die manier zult u het niet verdacht vinden, zelfs niet als u het op uw proceslijst zou vinden.
Het nieuwe kwaadaardige proces begint niet meteen te lopen. De cybercrimineel maakt het inactief, verbindt het met het legitieme proces en maakt er ruimte voor in het geheugen van het systeem.
Hoe kunt u procesinjectie voorkomen?
Procesinjectie kan uw hele netwerk verwoesten, aangezien de aanvaller mogelijk het hoogste toegangsniveau heeft. U maakt hun werk een stuk eenvoudiger als de geïnjecteerde processen toegang hebben tot uw meest waardevolle activa. Dit is een aanval die u moet proberen te voorkomen als u niet klaar bent om de controle over uw systeem te verliezen.
Hier zijn enkele van de meest effectieve manieren om procesinjectie te voorkomen.
1. Adopteer whitelisting
Whitelisting is het proces van een lijst met toepassingen die uw netwerk kunnen binnenkomen op basis van uw beveiligingsbeoordeling. U moet de items op uw witte lijst als onschadelijk hebben beschouwd, en tenzij inkomend verkeer binnen de dekking van uw witte lijst valt, kunnen ze er niet doorheen.
Om procesinjectie met whitelisting te voorkomen, moet u ook gebruikersinvoer aan uw whitelist toevoegen. Er moet een set invoer zijn die door uw beveiligingscontroles mag gaan. Dus als een aanvaller iets invoert buiten uw jurisdictie, zal het systeem deze blokkeren.
2. Processen bewaken
Voor zover een procesinjectie enkele beveiligingscontroles kan omzeilen, kunt u het omdraaien door goed op het procesgedrag te letten. Om dit te doen, moet u eerst de verwachte prestaties van een specifiek proces schetsen en deze vervolgens vergelijken met de huidige prestaties.
De aanwezigheid van kwaadaardige codes in een proces zal enkele veranderingen veroorzaken, hoe klein ze ook zijn voor een proces. Normaal gesproken zou je die veranderingen over het hoofd zien omdat ze onbeduidend zijn. Maar wanneer u via procesbewaking graag verschillen tussen de verwachte prestaties en de huidige prestaties wilt ontdekken, merkt u de anomalie.
3. Codeer uitvoer
Cyberdreigingsactoren gebruiken vaak Cross-Site Scripting (XSS) om gevaarlijk te injecteren codes in een procesinjectie. Deze codes veranderen in scripts die zonder uw medeweten op de achtergrond van uw netwerk worden uitgevoerd. U kunt dit voorkomen door alle verdachte invoer te controleren en op te schonen. Ze worden op hun beurt weergegeven als gegevens en niet als kwaadaardige codes zoals bedoeld.
Uitvoercodering werkt het beste met HTML-codering, een techniek waarmee u variabele uitvoer kunt coderen. U identificeert enkele speciale tekens en vervangt deze door alternatieven.
Voorkom procesinjectie met op informatie gebaseerde beveiliging
Procesinjectie creëert een rookgordijn dat kwaadaardige codes verdoezelt binnen een geldig en operationeel proces. Wat je ziet is niet wat je krijgt. Aanvallers begrijpen de doeltreffendheid van deze techniek en gebruiken deze continu om gebruikers uit te buiten.
Om procesinjecties tegen te gaan, moet je de aanvaller te slim af zijn door niet zo voor de hand liggend te zijn met je verdediging. Implementeer beveiligingsmaatregelen die aan de oppervlakte onzichtbaar zijn. Ze zullen denken dat ze je bespelen, maar zonder dat ze het weten, ben jij degene die ze bespeelt.
