Process doppelganging, Windows’un NTFS dosya sistemi islemlerini (transaction) ve eski bir surec olusturma yolunu birlikte kullanarak, guvenlik urunlerinin hic gormedigi bir yurutulebilir goruntuden surec baslatmayi saglayan bir teknik. 2017’de tanitildiginda dikkat cekmesinin nedeni, kotu amacli kodun diskte kalici bir dosya birakmadan calisan bir surece donusebilmesiydi.

Process doppelganging, NTFS islemleriyle olusturulup geri alinan bir dosyadan surec baslatarak diske hic yazilmamis gibi gorunen kod calistirma yontemidir.

Saldiri Nasil Gerceklesir?

Teknik dort adima dayanir. Saldirgan once bir NTFS islemi acar ve bu islem icinde mesru bir dosyanin uzerine kotu amacli yurutulebiliri yazar. Ardindan bu gecici, islem-ici dosyadan bir bellek bolumu (section) olusturur. Uctuncu adimda islemi geri alir (rollback), boylece diskteki dosya orijinal, zararsiz haline doner ve sanki hicbir sey degismemis gibi gorunur. Son adimda ise, daha once olusturulan bellek bolumunden NtCreateProcessEx ile yeni bir surec dogurur; bu surec artik diskte karsiligi olmayan kotu amacli goruntuyu calistirmaktadir.

Islemin geri alinmis olmasi kritik ayrintidir: dosya tarama motorlari diski inceledigrinde temiz icerigi gorur, oysa bellekte calisan surec tamamen farklidir. Bu ayrisma, teknigi guclu bir Savunmadan kacinma araci haline getirir.

Benzer Tekniklerden Farki

Doppelganging, process hollowing gibi eski oyma tekniklerinin evrimi olarak dusunulebilir. Hollowing’de mesru bir surecin bellegi bosaltilip yerine kotu kod yazilir; doppelganging’de ise surec en bastan sahte bir goruntuyle dogar ve olusum aninda gecmisi silinmis olur. Ayni ailedeki Reflective DLL injection ise bir DLL’i diske hic yazmadan dogrudan bellege yukleyip cagirir; ortak amac her uc yontemde de dosya tabanli tespiti aradan cikarmaktir.

Tespit ve Savunma

Diske dayali imza taramasi bu teknige karsi buyuk olcude korumasizdir; bu yuzden davranis temelli izleme sarttir. NtCreateProcessEx cagrilari, sahiplendigi disk goruntusuyle uyusmayan surecler ve olaganustu NTFS islem etkinligi, Uc nokta guvenligi cozumlerinde alarm uretebilecek isaretlerdir.

Bu tur ince enjeksiyon yontemlerine karsi savunmayi olcmenin en gercekci yolu, onlari kontrollu bir sekilde denemektir. Privia Security’nin red team hizmeti, doppelganging gibi ileri kacinma tekniklerini gercek bir saldirganin bakis acisiyla kullanarak kurumun tespit yeteneklerini pratikte sinar.