Process Injection

Définition

L'injection de processus (Process Injection) est une famille de techniques permettant d'exécuter du code malveillant dans le contexte d'un processus légitime et en cours d'exécution. En s'injectant dans un processus de confiance (explorer.exe, svchost.exe, lsass.exe, spoolsv.exe), le code malveillant hérite de ses permissions et de son contexte de sécurité, contournant les mécanismes de liste blanche d'applications et améliorant la discrétion. Les techniques d'injection les plus courantes incluent : DLL Injection (écriture d'une DLL dans la mémoire du processus cible et invocation via CreateRemoteThread + LoadLibrary), Process Hollowing (création d'un processus suspendu, remplacement de son code par le payload malveillant, reprise de l'exécution), Reflective DLL Injection (la DLL se mappe elle-même en mémoire sans passer par le chargeur Windows), Thread Execution Hijacking (suspension d'un thread existant, modification de son contexte d'exécution, reprise), et APC Injection (insertion d'une Asynchronous Procedure Call dans la queue d'un thread en état d'alerte). Des techniques plus avancées incluent : Process Doppelganging (utilisation des transactions NTFS pour créer un processus depuis un fichier qui n'existe pas sur le disque), Ghostwriting/Phantom DLL Hollowing (création d'un processus depuis une image en mémoire sans fichier sur disque), et Module Stomping (overwriting une section de code d'un module légitime chargé avec un payload). Cobalt Strike, Metasploit, et de nombreux outils offensifs implémentent des techniques d'injection de processus pour déployer leurs agents (beacons, shells) de manière discrète. Le choix du processus cible est critique : les processus avec des connexions réseau légitimes (chrome.exe, svchost.exe) sont préférés pour masquer les communications C2. La détection de l'injection de processus repose sur la surveillance comportementale des EDR : allocations mémoire RWX dans d'autres processus, appels CreateRemoteThread, WriteProcessMemory, et SetThreadContext vers des processus non apparentés, et exécution de code depuis des régions mémoire non associées à un module chargé.