detecting-process-hollowing-technique

检测进程镂空技术

何时使用

• 在调查疑似无文件恶意软件或内存威胁时
• 在 EDR 对进程注入或可疑内存操作发出告警后
• 在受感染环境中搜寻防御规避技术时
• 当威胁情报报告表明活跃攻击活动中存在进程镂空时
• 在紫队演练中验证 T1055.012 检测覆盖范围时

前提条件

• 具备内存保护监控的 EDR（CrowdStrike、MDE、SentinelOne）
• 启用事件 ID 1（进程创建）、8（CreateRemoteThread）、25（ProcessTampering）的 Sysmon
• 用于进程镂空的 Windows ETW 提供程序（Microsoft-Windows-Kernel-Process）
• 内存取证能力（Volatility、WinDbg）
• 进程完整性监控工具

工作流

1. 理解镂空机制：进程镂空涉及以挂起状态创建合法进程、解除其内存映射、写入恶意代码，然后恢复执行。
2. 监控挂起进程创建：搜寻以 CREATE_SUSPENDED 标志创建、随后伴随内存写入和线程恢复的进程。
3. 检测内存节异常：识别内存中的映像与磁盘上的二进制文件不一致（映像不匹配）的进程。
4. 分析父子进程树：标记行为与其二进制文件名称不符的进程（例如 svchost.exe 发起异常网络连接）。
5. 检查进程完整性：将进程内存节与磁盘上的合法二进制文件进行比对。
6. 关联网络活动：被镂空的进程通常会建立 C2 连接——将可疑进程行为与网络日志进行关联。
7. 记录并遏制：报告发现、隔离受影响的终端，并更新检测规则。

关键概念

概念	描述
T1055.012	进程注入：进程镂空
T1055	进程注入（父技术）
T1055.001	DLL 注入
T1055.003	线程执行劫持
T1055.004	异步过程调用
CREATE_SUSPENDED	用于以挂起状态创建进程的 Windows 标志
NtUnmapViewOfSection	用于解除进程内存节映射的 API
WriteProcessMemory	用于写入另一个进程内存的 API
ResumeThread	用于恢复挂起线程的 API
映像不匹配	进程内存内容与磁盘上的二进制文件不同
进程分身	使用 NTFS 事务的相关技术（T1055.013）

工具与系统

工具	用途
CrowdStrike Falcon	内存保护和镂空检测
Microsoft Defender for Endpoint	ProcessTampering 告警
Sysmon v13+	事件 ID 25 ProcessTampering 检测
Volatility	内存取证 - malfind 插件
pe-sieve	用于被镂空进程的进程内存扫描器
Hollows Hunter	自动化被镂空进程检测
Process Hacker	实时进程内存检查
API Monitor	监控 NtUnmapViewOfSection 调用

常见场景

1. Svchost.exe 镂空：恶意软件以挂起状态创建 svchost.exe，对其进行镂空并注入后门代码——进程看起来合法但行为恶意。
2. Explorer.exe 镂空：攻击者镂空 explorer.exe 以继承其网络权限和受信任的进程上下文。
3. Rundll32 镂空：恶意加载器创建 rundll32.exe，用植入代码替换其内存以进行 C2 信标通信。
4. 多阶段镂空：加载器将进程镂空用作第一阶段，然后对服务执行额外注入。

输出格式

Hunt ID: TH-HOLLOW-[DATE]-[SEQ]
Technique: T1055.012
Hollowed Process: [Process name and PID]
Original Binary: [Expected on-disk path]
Parent Process: [Parent name and PID]
Memory Mismatch: [Yes/No]
Suspicious APIs: [NtUnmapViewOfSection, WriteProcessMemory, etc.]
Network Activity: [C2 connections if any]
Host: [Hostname]
User: [Account context]
Risk Level: [Critical/High/Medium/Low]