Reflective DLL Loading

Définition

La Reflective DLL Loading (chargement réflexif de DLL) est une technique d'injection avancée qui permet à une DLL de se charger elle-même en mémoire sans passer par le chargeur Windows standard (LoadLibrary). La DLL est entièrement self-contained : elle inclut son propre loader qui effectue toutes les opérations normalement réalisées par le chargeur Windows (résolution des imports, relocation, exécution de DllMain). Développée par Stephen Fewer en 2008 dans son projet ReflectiveDLLInjection sur GitHub, cette technique a révolutionné l'injection de code en permettant le déploiement de DLLs fonctionnelles entièrement en mémoire, sans fichier sur disque. Le code du loader réflexif (typiquement ~600 lignes C) est intégré dans la DLL elle-même comme fonction exportée (ReflectiveLoader). Le processus de chargement réflexif : 1) la DLL est copiée dans l'espace mémoire du processus cible (via WriteProcessMemory, depuis un shellcode, ou depuis un agent C2), 2) l'exécution est transférée à la fonction ReflectiveLoader, 3) celle-ci localise sa propre base en mémoire (via une technique de scan mémoire ou les registres), 4) alloue un nouveau bloc mémoire de la taille de l'image PE, 5) parse les en-têtes PE pour copier chaque section aux offsets appropriés, 6) applique les relocations, 7) résout les imports via les modules déjà chargés (GetProcAddress/GetModuleHandle), 8) appelle DllMain(DLL_PROCESS_ATTACH). Cobalt Strike utilise la Reflective DLL Loading pour son Beacon : le payload stager est un petit shellcode qui télécharge le Beacon complet (une DLL) et invoque son loader réflexif. Le Beacon s'exécute entièrement en mémoire sans aucun fichier sur disque. Meterpreter utilise également une technique similaire. Des variantes comme Module Stomping, Ghostwriting, et Phantom DLL Hollowing combinent le chargement réflexif avec d'autres techniques pour réduire encore les artefacts mémoire et contourner les détections basées sur la présence de régions mémoire privées avec des permissions d'exécution.