Reflective Loading

Définition

Le Reflective Loading est une technique d'injection avancée qui charge un PE (Portable Executable — .exe ou .dll) directement depuis un buffer en mémoire sans utiliser les APIs Windows standard de chargement (LoadLibrary, CreateProcess), en implémentant manuellement les étapes du chargeur PE Windows. Cela permet de charger et exécuter du code malveillant sans aucune trace sur le disque. La bibliothèque ReflectiveDLLInjection de Stephen Fewer (2008) a popularisé cette technique pour les DLLs. La DLL inclut une fonction 'ReflectiveLoader' qui, quand exécutée, effectue toutes les étapes normalement réalisées par le système : 1) analyser les headers PE de la DLL, 2) allouer de la mémoire à la taille image correcte, 3) copier les sections PE, 4) appliquer les relocations (ajuster les adresses absolutes selon la base de chargement réelle), 5) résoudre les imports (remplir la IAT en trouvant les fonctions exportées dans les DLLs chargées), 6) appeler le DllMain. L'absence d'appel à LoadLibrary signifie que la DLL n'apparaît pas dans la liste des modules chargés du processus (obtenu via EnumProcessModules ou ToolHelp32), rendant la DLL invisible aux outils de surveillance qui listent les modules. Cette invisibilité dans la liste des modules est un avantage majeur par rapport à l'injection classique. Cobalt Strike utilise le reflective loading pour son Beacon : le stageless payload Beacon est une DLL réflective qui se charge elle-même. La commande 'dllinject' et 'shinject' de Cobalt Strike injectent respectivement une DLL réflective et du shellcode dans un processus cible. L'exécution d'assemblies .NET via Assembly.Load() est l'équivalent .NET du reflective loading : une assembly est chargée depuis un byte[] sans écrire un fichier sur disque.