DLL Injection

Définition

L'injection de DLL (Dynamic Link Library) est une technique permettant d'exécuter du code dans le contexte d'un autre processus en forçant ce processus à charger une DLL malveillante. Cette technique est utilisée en post-exploitation pour l'injection de payloads, l'évasion de processus (exécuter du code malveillant dans un processus légitime), et le hooking d'APIs. Les méthodes d'injection DLL classiques incluent : CreateRemoteThread + LoadLibrary (ouvrir un handle vers le processus cible avec OpenProcess, allouer de la mémoire avec VirtualAllocEx, écrire le path de la DLL avec WriteProcessMemory, créer un thread dans le processus cible qui appelle LoadLibraryA avec ce path), SetWindowsHookEx (enregistrer un hook Windows qui force tous les processus utilisant ce hook à charger la DLL), et l'injection via le registre AppInit_DLLs (charge la DLL dans tous les processus utilisant user32.dll). La Reflective DLL Injection est une variante plus avancée et furtive : au lieu d'écrire un fichier DLL sur disque et d'appeler LoadLibrary (qui génère des événements de chargement de module), la DLL est chargée entièrement en mémoire sans passer par les APIs Windows standard de chargement de DLL. La DLL inclut son propre loader qui applique les relocations et importe les fonctions nécessaires. L'injection DLL dans des processus légitimes (svchost.exe, explorer.exe, lsass.exe) permet au code malveillant d'opérer sous le couvert d'un processus de confiance, potentiellement héritant de ses permissions et sa réputation pour les solutions de sécurité basées sur les processus. Des outils comme Metasploit Meterpreter utilisent l'injection DLL réflexive pour leurs payloads en mémoire, et des frameworks comme Cobalt Strike et Sliver offrent des commandes d'injection DLL dans des processus cibles.