Reflective DLL injection, bir dinamik kütüphaneyi işletim sisteminin normal yükleyicisini hiç kullanmadan, doğrudan bir sürecin belleğine kopyalayıp kendi kendine yerleştirerek çalıştıran bir tekniktir. Kütüphane diske hiç yazılmadığından, dosya tabanlı imza denetimleri onu görmeden atlar.

Bir DLL’i diske dokunmadan, sistemin resmi yükleyicisini es geçerek belleğin içinde kendi kendine ayağa kaldırmanın adıdır reflective DLL injection.

Kendi Kendini Yükleyen Kütüphane

Standart bir DLL, LoadLibrary çağrısıyla yüklenir ve bu çağrı diskte gerçek bir dosya ile Windows yükleyici defterinde bir kayıt bırakır. Reflective yöntemde ise kütüphanenin içine küçük bir yükleyici işlevi gömülüdür. Bu işlev, ham DLL baytları belleğe yazıldıktan sonra çağrılır ve normalde işletim sisteminin yaptığı işi kendisi üstlenir.

Gömülü yükleyici, PE başlığını okuyup bölümleri doğru bellek adreslerine yerleştirir, içe aktarma tablosundaki fonksiyon adreslerini çözer ve taşıma (relocation) düzeltmelerini uygular. Bu adımlar tamamlandığında kütüphane, sanki sistem tarafından yüklenmiş gibi çalışır durumdadır; oysa yükleyici defterinde hiçbir kaydı yoktur.

Neden Etkili?

Tekniğin gücü, iki geleneksel tespit noktasını birden atlamasından gelir. Diskte dosya olmadığı için antivirüs taramaları boş çıkar; yükleyici defterinde kayıt olmadığı için de yüklü modülleri listeleyen araçlar kütüphaneyi göremez. Bu ikili görünmezlik, tekniği savunmadan kaçınma arayan implantların ve komuta-kontrol çerçevelerinin gözde aracı yapar.

Yaygın kullanım biçimi, kötü amaçlı yükü ağdan indirip doğrudan belleğe enjekte etmektir; böylece saldırgan, kalıcılık sağlama mekanizmalarını da bellekte tutarak diskte hemen hiç iz bırakmaz. Süreç sonlandığında adli inceleme için geriye kalan çok az şey olur.

Tespit ve Karşı Önlemler

Görünmezliğin çatladığı yer bellektir. Yükleyici defterinde karşılığı olmayan yürütülebilir bellek bölgeleri, RWX izinli anonim sayfalarda çalışan kod ve PE başlığı taşıyan ama diskte dosyası bulunmayan bölgeler güçlü göstergelerdir. Bu tür anomalileri arayan uç nokta güvenliği çözümleri, dosyasız yükleri bellek taramasıyla yakalar.

İşletim sisteminin sunduğu bellek koruma teknikleri ise saldırının serbestçe kod yürütmesini zorlaştırır; DEP, veri sayfalarında yürütmeyi engelleyerek yükleyicinin bellek izinlerini açıkça değiştirmeye zorlar ve bu izin değişikliği bir tespit fırsatı yaratır. Bu tür dosyasız zincirlerin tespit yeteneğini gerçek bir saldırgan gibi sınamak için Privia Security red team hizmeti bellek içi tekniklerin kurumdaki görünürlüğünü ölçer.