P³ — Загрузчик шелл-кода: подмена параметров процесса

[ADMIN]

Этот загрузчик реализует метод внедрения кода, в котором структура параметров процесса Windows (PEB) используется в качестве промежуточного хранилища и места выполнения для удаленного внедрения шелл-кода.

Передавая данные полезной нагрузки неявно через стандартные параметры, такие как CommandLine, Environment или ShellInfo, он обходит обнаружение EDR, поскольку не затрагивает тщательно отслеживаемые API, такие как VirtualAllocEx, WriteProcessMemory или CreateRemoteThread. Поскольку он работает без запуска приостановленных процессов и без использования техники «process hollowing», он практически не оставляет заметных следов в системе.

To view the content, you need to Sign In or Register.

To view the content, you need to Sign In or Register.

 

[Support]

Посмотреть вложение 435

Этот загрузчик реализует метод внедрения кода, в котором структура параметров процесса Windows (PEB) используется в качестве промежуточного хранилища и места выполнения для удаленного внедрения шелл-кода.

Передавая данные полезной нагрузки неявно через стандартные параметры, такие как CommandLine, Environment или ShellInfo, он обходит обнаружение EDR, поскольку не затрагивает тщательно отслеживаемые API, такие как VirtualAllocEx, WriteProcessMemory или CreateRemoteThread. Поскольку он работает без запуска приостановленных процессов и без использования техники «process hollowing», он практически не оставляет заметных следов в системе.

To view the content, you need to Sign In or Register.

To view the content, you need to Sign In or Register.

[ RU ]

Основные меры предосторожности (обязательно выполняйте хотя бы часть)
- Не устанавливайте ничего, если не понимаете, что именно делает программа.
- Проверяйте источник - лучше всего официальный сайт автора или GitHub с открытым исходным кодом.
- Используйте виртуальную машину (VirtualBox, VMware) или песочницу (Sandboxie, Windows Sandbox) для теста подозрительного софта.

[ ENG ]

Basic precautions (be sure to follow at least some of them)
- Don't install anything if you don't understand what the program does.
- Check the source—preferably the author's official website or GitHub with open source code.
- Use a virtual machine (VirtualBox, VMware) or sandbox (Sandboxie, Windows Sandbox) to test suspicious software.