Das EDR meldet eine svchost.exe, die suspendiert gestartet, deren Image entladen und die dann fortgesetzt wurde. Welche Technik ist das, und was tun Sie?
Kurzantwort
Das entspricht Process Hollowing (MITRE T1055.012): Ein legitimer Prozess wird suspendiert erstellt, sein Speicher entladen, Schadcode hineingeschrieben, der Thread-Kontext gesetzt und der Prozess fortgesetzt. Der Name wirkt vertrauenswürdig, der Code nicht. Host isolieren, Prozessspeicher zur Analyse sichern und verhaltensbasierte Prävention auf diese API-Folge anwenden. Eine Allowlist nach Prozessnamen würde es übersehen.
Der Alarm nennt eine vertrauenswürdige Binärdatei — genau deshalb funktioniert Hollowing. Erkennen Sie die Abfolge, nicht den Prozessnamen.
Die Technik
MITRE ATT&CK T1055.012 beschreibt die Schritte. Ein legitimer Prozess wird mit CreateProcess suspendiert erstellt; sein Speicher wird mit ZwUnmapViewOfSection oder NtUnmapViewOfSection entladen; Schadcode wird über VirtualAllocEx und WriteProcessMemory in den freien Bereich geschrieben; der Thread-Kontext wird mit SetThreadContext angepasst; ResumeThread führt die Nutzlast aus. MITRE hebt hervor, dass ein neuer Prozess erzeugt wird, statt einen bestehenden anzugreifen, anders als bei anderen Injektionsmethoden. Die Erkennungsstrategie zielt genau auf diese Aufruffolge.
Reaktion
- Eindämmen: Diese „svchost.exe“ führt Angreifercode aus.
- Speicher sichern, um die injizierte Nutzlast zu analysieren statt des harmlosen Images auf der Platte.
- Verhaltensbasiert verhindern: MITRE nennt Behavior Prevention on Endpoint (M1040), das gängige Injektionsfolgen blockiert.
- Den startenden Elternprozess und weitere Hosts untersuchen.
Warum die anderen scheitern
Allowlisting nach Namen ist, worauf der Angreifer setzt. DLL-Side-Loading und Ransomware sind andere Techniken; DLL löschen oder Backups einspielen untersucht den ausgehöhlten Prozess nie.
Was Interviewer erwarten
API-Kette erkennen, Speicher analysieren, auf Verhalten statt auf Namen bauen.
Wahrscheinliche Anschlussfragen
- Wie unterscheidet sich Process Hollowing von klassischer DLL-Injektion in einen bestehenden Prozess?
- Wie vergleichen Sie bei der Triage das Speicherabbild eines Prozesses mit seiner Datei auf der Platte?
- Welche Eltern-Kind- und Kommandozeilen-Auffälligkeiten stärken den Verdacht bei einer ausgehöhlten svchost.exe?