L'EDR signale un svchost.exe démarré suspendu, dont l'image a été désallouée puis relancé. De quelle technique s'agit-il et que faites-vous ?
Réponse courte
Cela correspond au process hollowing (MITRE T1055.012) : un processus légitime est créé suspendu, sa mémoire désallouée, du code malveillant y est écrit, puis le contexte du thread est défini et le processus repris. Le nom paraît fiable, pas le code. Isolez l'hôte, extrayez la mémoire du processus pour analyse et appliquez une prévention comportementale sur cette séquence d'API. Une liste blanche par nom de processus passerait à côté.
L'alerte cite un binaire de confiance, et c'est précisément pourquoi le hollowing fonctionne. Il faut reconnaître la séquence, pas le nom du processus.
La technique
MITRE ATT&CK T1055.012 décrit les étapes. Un processus légitime est créé suspendu avec CreateProcess ; sa mémoire est désallouée avec ZwUnmapViewOfSection ou NtUnmapViewOfSection ; du code malveillant est écrit dans l'espace libéré via VirtualAllocEx et WriteProcessMemory ; le contexte du thread est modifié par SetThreadContext ; puis ResumeThread exécute la charge. MITRE précise qu'il crée un nouveau processus au lieu d'en cibler un existant, contrairement à d'autres méthodes d'injection. Sa stratégie de détection vise précisément cette séquence d'appels.
Réponse
- Contenir l'hôte : ce « svchost.exe » exécute du code d'attaquant.
- Capturer la mémoire de ce processus pour analyser la charge injectée, et non l'image saine sur disque.
- Prévenir par le comportement : MITRE cite Behavior Prevention on Endpoint (M1040), qui bloque les séquences d'injection courantes.
- Rechercher le processus parent l'ayant lancé et d'autres hôtes touchés.
Pourquoi les autres échouent
La liste blanche par nom est ce sur quoi compte l'attaquant. Le DLL side-loading et le rançongiciel sont d'autres techniques ; supprimer une DLL ou restaurer des sauvegardes n'examine jamais le processus vidé.
Ce qu'attendent les recruteurs
Reconnaître la chaîne d'API, analyser la mémoire et s'appuyer sur le comportement plutôt que sur les noms.
Questions de suivi probables
- En quoi le process hollowing diffère-t-il d'une injection de DLL classique dans un processus existant ?
- Comment comparer l'image en mémoire d'un processus avec son fichier sur disque lors du triage ?
- Quelles anomalies de parenté et de ligne de commande renforceraient votre conviction pour un svchost.exe vidé ?