Süreç enjeksiyonunun bellekte tespiti, bir saldırganın kendi kodunu çalışan meşru bir sürecin bellek alanına yerleştirip orada çalıştırmasını, bellek görüntüsünü çözümleyerek ortaya çıkarma işlemidir. Saldırganlar bu tekniği diskte iz bırakmadan, güvenilir bir programın kimliği altında çalışmak için kullanır; bu yüzden diski tarayan geleneksel araçlar çoğu zaman körelir.

Enjekte edilmiş kod diskte bir dosya olarak var olmaz; yalnızca çalışan bir sürecin belleğinde yaşar, dolayısıyla orada aranmalıdır.

Süreç Enjeksiyonu Nedir?

Süreç enjeksiyonu, bir programın belleğine dışarıdan kod yazıp o kodu programın kendi bağlamında yürütmeye dayanır. Klasik biçimlerinde saldırgan hedef sürecte bellek ayırır, zararlı kodu buraya kopyalar ve yeni bir yürütme akışı başlatır. Reflective DLL yükleme, process hollowing ve thread hijacking gibi çeşitleri, kodu diske hiç düşürmeden çalıştırdıkları için özellikle bir zararlı yazılım tarafından tercih edilir.

Bellekte Hangi İzler Aranır?

Tespit, bellekteki anormalliklerin sistemli taranmasına dayanır. En güçlü ipuçlarından biri, hem yazılabilir hem yürütülebilir olarak işaretlenmiş bellek bölgeleridir; normal kod bölümleri böyle olmaz. Diskteki bir dosyayla eşleşmeyen (unbacked) yürütülebilir sayfalar, süreç ağacındaki tutarsızlıklar ve içi boşaltılıp yerine başka bir imaj yerleştirilmiş süreçler de tipik göstergelerdir.

• RWX izinli veya diskteki modülle eşleşmeyen yürütülebilir bellek bölgeleri
• Meşru sürecin baş bilgisiyle çelişen, bellekte çözülmüş içe aktarma tabloları
• Beklenmedik ana süreç ilişkisi ve şüpheli iş parçacığı başlangıç adresleri
• Bellekte çözülmüş ancak diskte olmayan komut ve ağ göstergeleri

Bu işaretlerin taranması, çalışan sistemin ya da alınmış bir bellek dökümünün incelenmesiyle yapılır ve bir bellek adli analizi disiplininin çekirdeğini oluşturur. Enjekte edilen kod bellekte açık hâlde durduğu için, diskte şifreli ya da paketli duran zararlının gerçek davranışı çoğu zaman ilk kez burada görünür hâle gelir.

Neden Önemli?

Diske hiç dokunmadan çalışan saldırılarda bellek, çoğu zaman kanıtın bulunduğu tek yerdir. Sistem yeniden başlatıldığında bu izler kaybolacağından, olaya müdahale eden ekibin uçucu belleği erken ve doğru sırayla toplaması kritik önem taşır. Elde edilen bulgular, saldırının nasıl başladığını ve nereye yayıldığını gösteren daha geniş bir DFIR adli analiz ve olay müdahalesi resmine oturtulur.

Bellek analizi uzmanlık ve doğru araç zinciri gerektiren bir alandır; yanlış toplanan bir döküm kanıtı bozabilir. Kurumlar süreç enjeksiyonu gibi diskte iz bırakmayan tehditleri savunulabilir biçimde incelemek için Privia Security’nin adli analiz ekibiyle çalışabilir.