Process Hollowing Detection

Définition

Le Process Hollowing (ou Process Replacement, ou RunPE) est une technique d'injection de code qui crée un processus légitime en état suspendu, remplace son code par du code malveillant, puis reprend l'exécution. Le résultat est un processus malveillant apparaissant comme un processus légitime (explorer.exe, svchost.exe, notepad.exe) dans les listes de processus, contournant les détections basées sur les noms de processus. Le déroulement technique du process hollowing est le suivant : CreateProcess avec le flag CREATE_SUSPENDED crée le processus cible en état suspendu ; NtUnmapViewOfSection détache la mémoire originale de l'image exécutable du processus ; VirtualAllocEx alloue de la mémoire dans le processus cible pour le payload malveillant ; WriteProcessMemory copie le payload PE malveillant dans cette nouvelle mémoire ; les registres du thread suspendu (via SetThreadContext) sont mis à jour pour pointer vers le nouveau point d'entrée ; ResumeThread reprend l'exécution du code malveillant sous l'identité du processus légitime. Forensiquement, le process hollowing laisse plusieurs artefacts détectables en mémoire. La discordance entre le chemin d'image sur disque (disk path) et le contenu de la mémoire est le marqueur principal : le module malfind de Volatility détecte les régions de mémoire privées exécutables contenant un en-tête PE, qui correspondent aux payloads hollowed. De plus, le plugin dlllist montrera que le module principal du processus n'est pas mappé normalement (VAD with mapped file vs VAD private). D'autres indicateurs incluent : la comparaison du hash du processus en mémoire avec le hash du fichier sur disque (different = compromis), des segments de mémoire non alignés sur les sections PE attendues, et l'absence de chemins de fichiers valides pour la région de code principale dans les handles du processus.