DLL Hijacking

Définition

Le DLL Hijacking (détournement de DLL) exploite le mécanisme de chargement des bibliothèques dynamiques de Windows pour faire charger une DLL malveillante à la place d'une DLL légitime. Windows suit un ordre de recherche prédéfini pour localiser les DLLs lors du chargement d'une application, et si un attaquant peut placer une DLL malveillante dans un répertoire prioritaire dans cet ordre, l'application chargera involontairement le code malveillant. L'ordre de recherche des DLLs sur Windows (en l'absence de SAFE_DLL_SEARCH_MODE ou de manifeste d'application) est : répertoire de l'application, répertoire système Windows (System32), répertoire système Windows 16-bit, répertoire Windows, puis les répertoires listés dans la variable PATH. Si une DLL requise n'est pas trouvée dans ces emplacements dans cet ordre, un attaquant ayant accès à un répertoire en écriture plus prioritaire peut y placer une DLL malveillante du même nom. Les scénarios d'exploitation incluent : le DLL planting dans le répertoire courant de l'application (si l'application est exécutée depuis un répertoire accessible en écriture), le PATH injection (si un répertoire accessible en écriture est en première position dans le PATH), le DLL side-loading (exploitation de manifestes d'application mal configurés pointant vers un chemin relatif), et le DLL redirection via les fichiers .local ou les manifestes d'activation de contexte. Des cas notables de DLL Hijacking pour l'élévation de privilèges incluent des applications installées dans des répertoires accessibles en écriture aux utilisateurs standard, des services Windows qui chargent des DLLs depuis des chemins PATH non sécurisés, et des applications qui spécifient des chemins relatifs pour leurs DLLs. Des outils comme PowerSploit/Find-PathDLLHijack ou Robber automatisent la détection des opportunités de DLL Hijacking. Pour la persistance, le DLL Hijacking offre un mécanisme fiable : si l'application vulnérable est un service ou une application qui démarre au démarrage du système, la DLL malveillante sera chargée à chaque redémarrage avec les privilèges du service.