حقن العمليات
ما هي حقن العمليات؟
حقن العمليات هي عندما تُجبر عملية (ربما ضارة) أ، عملية ب على تنفيذ تعليمات ليست في الأصل جزءًا من كودها. لحقن العمليات العديد من التقنيات المختلفة، وأكثرها شيوعًا هو إنشاء خيط تنفيذ (thread) عن بُعد داخل العملية الضحية.
غالبًا ما يتم إنشاء هذه التعليمات الجديدة جنبًا إلى جنب مع البرنامج الأصلي، بحيث لا تتأثر العمليات الطبيعية للعملية الضحية ب. ولهذا السبب، غالبًا ما يمر الحقن دون أن يُلاحظ.
تكتيكات Mitre ذات الصلة:
Mitre T1055 - حقن العمليات، كما هو موضح أعلاه. يُستخدم لتجنب اكتشاف البرمجيات الخبيثة من خلال السماح للعملية المستهدفة بمواصلة العمل بشكل طبيعي أثناء تنفيذ الكود الضار.
Mitre T1559 - يمكن للاتصال بين العمليات (Inter-Process communication) أن يمنح التحكم في العملية المستهدفة من قِبل جهة الحقن بمجرد اكتمال عملية الحقن.
Mitre T1569 - يمكن للحقن في خدمة نظام مثل
svchostموجودة أن يُخفي الكود الضار ليتم الإبلاغ عنه على أنه يعمل من عملية معروفة وموثوقة.
ما هي العواقب؟
حقن عمليات غير موثوقة في عملية موثوقة يعني أنها لم تعد موثوقة. يمكن إجبار تثبيت غير فاسد في الأصل لبرنامج مؤمّن، مثل خادم SQL، على تنفيذ حمولات برمجيات خبيثة. بعد موت العملية و/أو إعادة تشغيل النظام، ستختفي أي أدلة على هذا التلاعب، حيث تم كل شيء بشكل بحت في الذاكرة عبر إنشاء خيوط تنفيذ ديناميكي.
ماذا تفعل Cyber Crucible؟
تراقب Cyber Crucible عمليات حقن العمليات التي تحدث على النظام، ولا توقف النشاط إلا إذا بدأت أنشطة ابتزاز البيانات أو تشفير برامج الفدية. وذلك لأن بعض العمليات على النظام تتواصل عبر تقنيات حقن عمليات مختلفة، ولا تقوم بأي سلوك ضار.
بدلاً من ذلك، ستتتبع Cyber Crucible عمليات الحقن التي تحدث من وإلى كل عملية على النظام، وتسجلها لاستخدامها لاحقًا في تحليل السبب الجذري المحتمل. بهذه الطريقة، يمكننا أن نعرف ليس فقط أن عملية معينة غير موثوقة حاليًا في الذاكرة، بل أيضًا أي عملية بدأت سلسلة النشاط الضار.
كيف أعرف ذلك؟
عندما يكون حقل "خيوط التنفيذ البعيدة غير الموثوقة" (untrusted remote threads) صحيحًا في استجابة تلقائية، نعلم أننا نتعامل مع حقن عمليات. والخبر الجيد هو أنه يمكننا أخذ معرّف العملية (pid) الخاص بالاستجابة، والبحث ضمن عمليات حقن العمليات حول وقت الحادثة، والعثور على الجاني.
