Скрытие имени процесса, чтобы избежать инъекции DLL. Насколько это возможно?

Question

Идея довольно проста, т. Е. Старайтесь не следовать стандарту. Например, чтобы внедрить кое-что в Firefox, вредоносное ПО должно знать, что имя процесса - «firefox.exe» или что-то добавить в Internet Explorer, вредоносное ПО должно знать, что этот процесс является «iexplorer.exe». Но если Firefox или интернет-проводник не следуют этому соглашению, это будет сложно. Идея заключается в том, чтобы ввести логику для изменения названия процесса. Для этого реальный «firefox.exe» заменяется нашим файлом «firefox.exe». Этот дублирующий файл - это просто запуск, настоящий исполняемый файл Firefox переименовывается в некоторый «случайный файл string.exe». Когда система запускает «firefox.exe», это откроет исполняемый файл «firefox.exe». Этот исполняемый файл в свою очередь откроет реальный Firefox, который можно использовать как «random string.exe», а также установить фиктивную информацию процесса с помощью API «SetProcessInformation». Используя «SetProcessInformation», мы установим ложное расположение исполняемого файла, чтобы вредоносное ПО не могло найти реальный процесс на основе местоположения.

Может ли любой орган предложить, насколько это возможно (если SetProcessInformation может установить ложное местоположение процесса)?

Answer 1

Его, вероятно, не стоит проблем.

Злоумышленник просто нуждается в ручке процесса, и если вы переименуете exe, вы просто сделаете его немного сложнее, но не так много. Например, просто контролировать процессы, которые открывают базу данных истории firefox или любой процесс, который ищет DNS-сервер для сервера обновления firefox, будет для этого достаточно хорошим. Или просто MD5 суммирует все exes и имеет набор известных двоичных изображений.

В принципе, если у вас есть код, который может вставлять DLL или код в внешние процессы, вы уже потеряли контроль над системой.