[Memory] GrrCON 2015 #4

프로세스 인젝션

- 프로세스를 파일에 추가해서 해당 파일이 실행됐을 때 인젝션된 프로세스 프로그램까지 같이 실행되는 것

 

 

어떤 프로세스가 삽입되어있는지 알기 위한 방법

1. 악성 프로그램 직접 실행해서 process injection된 프로세스 찾기

• Windows7에 악성 파일 넣고 실행해서 Process Explorer로 확인하면 된다. 

2. python vol.py -f Target1-1dd8701f.vmss --profile="Win7SP1x86_23418" pstree

iexplore.exe같은 사용자 응용 프로그램은 explorer.exe 밑으로 실행된다.

그러나 독자적인 iexplorer.exe 프로세스가 발견됐다. 

또한 그 자식으로 cmd.exe 프로세스가 존재한다. 

 

2996