detecting-dll-sideloading-attacks

检测 DLL 侧加载攻击

使用时机

• 调查企业环境中的潜在 DLL 劫持时
• 在 EDR 对已签名应用加载的未签名 DLL 发出警报后
• 在利用合法应用包装器搜寻 APT 持久化时
• 在事件响应期间识别被木马化的应用时
• 当威胁情报表明存在针对特定软件的 DLL 侧加载活动时

前置条件

• 具备 DLL 加载监控能力的 EDR（CrowdStrike、MDE、SentinelOne）
• 带有哈希校验的 Sysmon 事件 ID 7（映像已加载）
• 应用白名单或 DLL 完整性监控
• 合法应用及预期 DLL 路径的软件清单
• 代码签名校验能力

工作流

1. 识别侧加载目标：研究已知的、会在加载 DLL 时不指定完整路径的易受攻击应用（LOLBAS、DLL 侧加载数据库）。
2. 监控 DLL 加载事件：查询 Sysmon 事件 ID 7，找出 DLL 路径与应用预期目录不一致的 DLL 加载。
3. 检查 DLL 签名：标记由已签名可执行文件加载的未签名或不受信任的 DLL。
4. 检测路径异常：识别从异常位置（Temp、AppData、Public）运行的合法可执行文件，它们可能是诱饵包装器。
5. 哈希校验：将已加载 DLL 的哈希与已知良好版本及威胁情报源进行比对。
6. 关联进程行为：检查宿主进程在加载可疑 DLL 后是否表现出异常行为（网络连接、子进程）。
7. 记录与修复：报告侧加载实例，隔离恶意 DLL，并更新检测规则。

关键概念

概念	描述
T1574.002	DLL 侧加载
T1574.001	DLL 搜索顺序劫持
T1574.006	动态链接器劫持
T1574.008	通过搜索顺序劫持进行路径拦截
DLL 搜索顺序	Windows DLL 加载优先级路径
侧加载	将恶意 DLL 放置在合法应用会加载它的位置
幻影 DLL	合法应用尝试加载但并不存在的 DLL
DLL 代理	恶意 DLL 将调用转发给合法 DLL

工具与系统

工具	用途
Sysmon	事件 ID 7 DLL 加载监控
CrowdStrike Falcon	带进程上下文的 DLL 加载检测
Microsoft Defender for Endpoint	DLL 加载异常检测
Process Monitor	实时 DLL 加载跟踪
DLL Export Viewer	验证 DLL 导出函数
Sigcheck	数字签名验证
pe-sieve	针对代理 DLL 的 PE 分析

常见场景

1. 合法应用包装器：攻击者将已签名应用（例如 OneDrive 更新程序）复制到临时文件夹，并在旁边放置与预期依赖项同名的恶意 DLL。
2. 幻影 DLL 利用：将恶意 DLL 放置在合法应用搜索不存在 DLL 的 PATH 位置。
3. DLL 代理加载：恶意 version.dll 将所有导出代理到真实的 version.dll，同时在 DllMain 中执行恶意代码。
4. 软件更新劫持：攻击者在合法更新程序加载之前替换更新暂存目录中的 DLL。

输出格式

Hunt ID: TH-SIDELOAD-[DATE]-[SEQ]
Technique: T1574.002
Host Application: [Legitimate signed executable]
Sideloaded DLL: [Malicious DLL name and path]
Expected DLL Path: [Where DLL should legitimately be]
DLL Signed: [Yes/No]
App Location: [Expected/Anomalous]
Host: [Hostname]
Risk Level: [Critical/High/Medium/Low]