Process hollowing (süreç boşaltma), saldırganın diskte güvenilir görünen meşru bir çalıştırılabilir dosyayı askıya alınmış halde başlatıp, belleğindeki asıl kodu söküp yerine kendi zararlı kodunu yerleştirmesiyle çalışan bir gizlenme tekniğidir. Görev yöneticisinde svchost.exe ya da explorer.exe gibi tanıdık bir isim gözükürken, o sürecin belleğinde artık tümüyle farklı bir yük çalışır.

Diskte tanıdık, bellekte yabancı: meşru bir sürecin kabuğunu giyip içine başka bir programı yerleştirmenin adıdır process hollowing.

Süreç Nasıl Boşaltılır?

Klasik akış, hedef süreci CREATE_SUSPENDED bayrağıyla başlatmakla açılır. Bu durumda süreç oluşur ama ana iş parçacığı henüz kod yürütmez. Saldırgan NtUnmapViewOfSection ile sürecin bellekte haritalanmış özgün görüntüsünü kaldırır, VirtualAllocEx ile yeni bir alan ayırır ve WriteProcessMemory çağrılarıyla kendi PE dosyasını bu alana yazar. Ardından SetThreadContext ile iş parçacığının giriş noktası zararlı kodun başlangıcına çevrilir.

Son adımda ResumeThread çağrılır ve askıya alınmış süreç, artık kendi orijinal komutları yerine yerleştirilen kodu çalıştırmaya başlar. Süreç ağacında ebeveyn-çocuk ilişkisi ve dosya yolu meşru göründüğü için, yalnızca komut satırı ve imza denetimine bakan yüzeysel kontroller bu değişimi fark etmez.

Neden Tercih Edilir?

Tekniğin cazibesi, zararlı kodu güvenilir bir kimlik altında saklamasıdır. Uygulama beyaz listelerinde svchost gibi süreçlere genelde izin verilir; ağ trafiği güvenilir bir sürecin adına çıktığında ilk bakışta alarm üretmez. Bu yüzden process hollowing, savunmadan kaçınma amacıyla sıklıkla fidye yazılımı yükleyicilerinde ve komuta-kontrol implantlarında görülür.

Aynı ailedeki DLL injection ve process doppelgänging gibi yöntemlerle karşılaştırıldığında, hollowing’in ayırt edici yanı sürecin tamamen ele geçirilmesidir; enjekte edilen kod misafir değil, evin yeni sahibidir. Bellekte yalnızca çalıştıktan sonra beliren yükler için reflective DLL injection gibi tekniklerle birleştirilerek diskte hiçbir iz bırakmayan zincirler kurulabilir.

Tespit ve Önleme

Tespitin anahtarı, davranış temelli izlemededir. Bir sürecin başlatılır başlatılmaz kendi bellek görüntüsünün kaldırılması, RWX izinli bellek bölgelerine yazma yapılması ve iş parçacığı bağlamının değiştirilmesi anormal API çağrı dizileridir. Modern uç nokta güvenliği çözümleri, disk üzerindeki PE başlığı ile bellekteki görüntü arasındaki tutarsızlığı arayarak boşaltılmış süreçleri yakalar.

• CREATE_SUSPENDED ile başlatılıp hemen bellek haritası kaldırılan süreçleri işaretleyin
• Meşru süreç adı taşıyan ama beklenmedik dizinden çalışan örnekleri araştırın
• Bellekteki görüntü ile diskteki dosya arasındaki hash farkını tarayın
• Ebeveyn-çocuk süreç ilişkilerinde alışılmadık zincirleri (örneğin Office ürününden svchost) inceleyin

Bu tür bellek içi hilelerin gerçekçi ortamda nasıl işlediğini görmek, savunmayı saldırganın gözünden sınamayı gerektirir; kırmızı takım senaryolarında bu teknikler kontrollü biçimde kullanılarak tespit yeteneği ölçülür. Privia Security red team hizmeti ile bu gizlenme yöntemlerini gerçek bir saldırgan gibi deneyerek kurumun görünürlük boşluklarını ortaya çıkarır.