Process Doppelganging

Définition

Process Doppelganging est une technique d'injection de code en mémoire présentée à Black Hat Europe 2017 par Tal Liberman et Eugene Kogan (enSilo), qui exploite le mécanisme de transactions NTFS (TxF) de Windows pour exécuter du code malveillant dans le contexte d'un processus légitime, sans que le code malveillant ne soit jamais écrit sur le disque de manière permanente et sans laisser les artefacts habituels des injections classiques. Le mécanisme utilise les transactions NTFS : 1) créer une transaction NTFS avec NtCreateTransaction, 2) écrire un payload malveillant dans un fichier dans le contexte de cette transaction (les modifications transactionnelles sont visibles uniquement dans le contexte de la transaction, pas pour d'autres processus ou l'antivirus qui scanne le disque), 3) créer une Section (objet de mémoire mappé) depuis ce fichier transactionnel, 4) annuler la transaction (le fichier n'est jamais validé sur disque), 5) créer un processus depuis cette Section — le processus démarre avec le code malveillant mais le fichier n'existe pas sur disque. L'avantage par rapport aux injections classiques : les AV qui scannent les fichiers sur disque ne trouvent jamais le payload (la transaction est annulée). Les techniques de détection basées sur les événements de création de processus voient un processus créé depuis un fichier 'légitime' (le fichier transactionnel qui n'existe plus). La mémoire du processus contient le code malveillant mais sans les marqueurs habituels des injections (pas de régions RWX créées par injection externe).