Process Hollowing

Définition

Le process hollowing (creusage de processus) est une technique d'injection de code qui crée un processus légitime en état suspendu, remplace son code par un payload malveillant, puis le reprend. Du point de vue du système, le processus malveillant apparaît comme un processus légitime (explorer.exe, svchost.exe, lsass.exe), masquant l'activité malveillante. Les étapes techniques du process hollowing : 1) création d'un processus légitime en état suspendu (CreateProcess avec CREATE_SUSPENDED flag), 2) obtention de l'adresse de base du processus via NtQueryInformationProcess ou en parsant le PEB (Process Environment Block), 3) démapping du code original avec ZwUnmapViewOfSection ou NtUnmapViewOfSection, 4) allocation de nouvelle mémoire exécutable dans le processus avec VirtualAllocEx, 5) écriture du payload (PE file ou shellcode) dans la mémoire allouée avec WriteProcessMemory, 6) mise à jour du pointeur d'entrée dans le contexte du thread via SetThreadContext, 7) reprise du thread avec ResumeThread. Des variantes incluent le Module Stomping (overwriting le code d'un module déjà chargé plutôt que de démasquer le code original, laissant le module apparent dans la liste des modules chargés), le PE Injection (injection d'un PE complet sans créer de nouveau processus), et le Process Doppelganging (utilisation de transactions NTFS pour créer un processus depuis un fichier 'fantôme'). Process Hollowing est utilisé par de nombreux malwares réels pour masquer leur activité : le ransomware Ryuk, le trojan Emotet, TrickBot, et de nombreux outils C2 utilisent des variantes de cette technique pour déployer leurs payloads dans des processus légitimes. L'avantage principal est la discrétion : les outils de surveillance des processus (Task Manager, Process Explorer) affichent le nom et le chemin du processus légitime, et les connexions réseau sont attribuées au processus légitime. Les solutions EDR modernes détectent le process hollowing via la surveillance des APIs critiques (ZwUnmapViewOfSection, VirtualAllocEx cross-process, WriteProcessMemory, SetThreadContext), la vérification de cohérence entre l'image sur disque et le code en mémoire, et l'analyse de la liste des modules dans les processus.