[Málw~áré P~áýló~áds & B~éácó~ñs: Tý~pés ó~f Mál~ícíó~ús Pá~ýlóá~ds]

[Íñ thé prévíóús blóg póst, wé díscússéd hów páýlóáds fácílítáté málícíóús cómmúñícátíóñs áñd hów áñ áttáckér cáñ gáíñ cóñtról óf á sýstém áftér súccéssfúllý éxécútíñg thé páýlóáds áñd béácóñs. Wé úséd á révérsé_tcp cómmúñícátíóñs cháññél fácílítátéd bý thé Métérprétér páýlóád (fróm thé Métásplóít Fráméwórk).]

[Thís~ póst~ wíll~ fócú~s óñ ú~ñdér~stáñ~díñg~ móré~ ábóú~t thé~ díst~íñct~ týpé~s óf p~áýló~áds á~ñd éx~ámpl~és óf~ thé m~émór~ý máñ~ípúl~átíó~ñ téc~hñíq~úés t~héý m~áý ém~plóý~.]

[Málwáré hás bécómé móré sóphístícátéd íñ cómpósítíóñ áñd éxécútíóñ — éspécíállý íñ cóñtrást tó thé dáýs óf símplér vírúsés, líké thé Créépér prógrám íñ thé éárlý sévéñtíés. Fór thréát áctórs mótívátéd prímárílý bý cláñdéstíñé áíms, stáýíñg úñdér thé rádár tó pérsíst íñ á ñétwórk úñdétéctéd fór áñ éxtéñdéd péríód ís týpícállý á tóp fócús. Théréfóré, théý wíll émplóý córréspóñdíñg téchñíqúés súch ás décóýs, éñcódíñg, óbfúscátíóñ, éñcrýptíóñ áñd mímíckíñg tó áchíévé thé désíréd lévél óf ópérátíóñál sécúrítý.]

[Théré áré sévérál éxécútáblé fórmáts áváíláblé tó á thréát áctór. Thé áttáckér’s chóícé dépéñds óñ thé íñítíál áttáck véctórs áñd súbséqúéñt póst-éxplóítátíóñ áctíóñs. Héré áré sómé óf thé Métásplóít Fráméwórk’s éxécútáblé áñd tráñsfórm fórmáts.]

[Ás démóñstrátéd íñ párt óñé, thé béácóñ ór páýlóád ís thé ímpláñt óñ á víctím máchíñé ór ñétwórk thát gívés áñ áttáckér áñ éñtrý áñd théñ fóóthóld. Ít ís áñ ímpórtáñt párt óf thé málwáré árséñál áñd óvéráll áttáck lífécýclé, állówíñg thé thréát áctór háñds-óñ áccéss tó púrsúé fúrthér málícíóús áctívítý.]

[Whéñ~ ít có~més t~ó thé~ áctú~ál br~óád c~átég~óríz~átíó~ñ, á pá~ýlóá~d máý~ éíth~ér bé~ “stág~éd” ór~ bé “st~ágél~éss.” Á~ thré~át ác~tór m~áý pí~ck óñ~é óvé~r thé~ óthé~r dép~éñdí~ñg óñ~ sévé~rál f~áctó~rs, ch~íéf ó~f whí~ch má~ý bé ó~pérá~tíóñ~ál sé~cúrí~tý có~ñsíd~érát~íóñs~.]

[Whát~ áré s~tágé~d páý~lóád~s¿]

[Stágéd páýlóáds bréák dówñ thé dístíñct phásés óf áñ áttáck, óftéñ úsíñg múltíplé páýlóáds phásés thát á síñglé páýlóád wóúld hávé óthérwísé pérfórméd. Thésé páýlóáds áré týpícállý brókéñ dówñ íñtó á ”stágér” (íñítíál páýlóád ór béácóñ) éxécútáblé áñd á ”stágé” (máíñ páýlóád) éxécútáblé.]

[Á stágér ís á smáll éxécútáblé thát ís áñ íñítíál páýlóád. Ít ís á rélátívélý smáll píécé óf códé thát ís éxécútéd tó prépáré fór á múch lárgér áñd móré cápáblé páýlóád kñówñ ás thé stágé páýlóád. Thís méáñs thát “thé stágér séts thé stágé.” Á stágér wíll týpícállý bé párt óf sómé éxplóít códé whéñ thé íñítíál éñtrý lévérágés á vúlñérábílítý. Héré, thé éxplóít códé wíll súccéssfúllý éxplóít thé tárgét vúlñérábílítý áñd théñ rúñ thé stágér códé (páýlóád). Thé stágér théñ kícks íñtó áctíóñ.]

[Thé stágér’s prímárý tásk ís tó éxécúté súccéssfúllý wíthóút détéctíóñ, réách báck óút tó thé áttáckér íñfrástrúctúré tó dówñlóád thé désíréd máíñ páýlóád, áñd théñ sét úp thé sýstém tó éxécúté thát páýlóád. Thé dówñlóádéd stágé ór lárgér máíñ páýlóád cáñ bé óñé ór móré páýlóáds dépéñdíñg óñ thé cápábílítý réqúíréd bý thé áttáckér. Óñcé thé stágé ís dówñlóádéd, thé stágér théñ pássés éxécútíóñ cóñtról tó cóñtíñúé thé málícíóús áctívítý.]

[Íñ thé cásé óf á vúlñérábílítý éxplóít, thé íñítíál éxplóít prógrám dóés sóméthíñg símílár fór thé stágér ás thé stágér dóés fór thé máíñ stágé páýlóád, íñ térms óf résóúrcé állócátíóñ óñ thé cómprómíséd sýstém. Ít wíll fóllów á páttérñ símílár tó thís:]

[Thé é~xámp~lé bé~lów s~hóws~ á stá~géd p~áýló~ád ás~ á Wíñ~dóws~ éxéc~útáb~lé.]

[Stágéd páýlóáds áccómmódáté fór scéñáríós whéré théré máý bé sýstém-rélátéd cóñstráíñts, súch ás dísk áñd mémórý spácé, whéñ ít cómés tó páýlóád délívérý áñd éxécútíóñ — ás íñ thé cásé óf shéllcódé úséd tó éxplóít á búffér óvérflów vúlñérábílítý.]

[Whát~ áré s~tágé~léss~ páýl~óáds~¿]

[Thé ó~ppós~íté ó~f stá~géd p~áýló~áds í~s stá~gélé~ss pá~ýlóá~ds. St~ágél~éss p~áýló~áds á~ré sé~lf-có~ñtáí~ñéd á~ñd ús~úáll~ý múc~h lár~gér t~háñ s~tágé~d páý~lóád~s. Thé~ý týp~ícál~lý có~mbíñ~é áll~ thé r~éqúí~réd c~ápáb~ílít~íés ó~f áñ á~ttác~kér í~ñtó ó~ñé éx~écút~áblé~.]

[Héré, théré ís týpícállý ñó ñééd fór áñ íñítíál páýlóád (stágér) thát dówñlóáds thé máíñ páýlóád (stágér). Óñcé thé stágéléss páýlóád ís éxécútéd, ít wíll hávé áll thé ñécéssárý cápábílítíés tó pérfórm málícíóús áctíóñs, súch ás mémórý íñjéctíóñ, cállíñg báck tó thé áttáckér íñfrástrúctúré áñd délívéríñg á shéll fór thé áttáckér.]

[Thé é~xámp~lé bé~lów s~hóws~ á stá~gélé~ss Mé~térp~rété~r rév~érsé~ tcp p~áýló~ád ás~ á Wíñ~dóws~ éxéc~útáb~lé.]

[Thé décísíóñ óñ whát týpé óf páýlóád tó úsé ás párt óf á málícíóús cámpáígñ ís kñówñ ás thé “ópérátíóñál sécúrítý cóñsídérátíóñs” fór thát thréát áctór. Thé týpé óf córréspóñdíñg áttáckér íñfrástrúctúré súppórtíñg thé málícíóús cámpáígñ ís pártlý íñflúéñcéd bý thésé cóñsídérátíóñs.]

[Stág~éd vs~. stág~élés~s páý~lóád~s]

[Métá~spló~ít st~ágéd~ páýl~óáds~ hávé~ thé f~órwá~rd-sl~ásh s~ýmbó~l ( / ) áft~ér th~é wór~d Mét~érpr~étér~. Thé s~créé~ñshó~t bél~ów sh~óws é~xámp~lés ó~f Wíñ~dóws~ stág~éd Mé~térp~rété~r páý~lóád~s.]

[Stág~élés~s páý~lóád~s émp~lóý t~hé úñ~dérs~córé~ sýmb~ól ( _ ) á~ftér~ thé w~órd M~étér~prét~ér. Th~é scr~ééñs~hót b~élów~ shów~s éxá~mplé~s óf W~íñdó~ws Mé~térp~rété~r stá~gélé~ss pá~ýlóá~ds.]

[Áñd t~hé éx~ámpl~é bél~ów sh~óws b~óth c~átég~óríé~s óf p~áýló~áds.]

[Stágéléss páýlóáds áré sélf-cóñtáíñéd áñd dó ñót réqúíré thé éxtrá stép óf séñdíñg á stágé (máíñ páýlóád) tó thé víctím máchíñé óñcé thé málwáré mákés á cállbáck tó thé áttáckér íñfrástrúctúré. Ñótícé íñ thé scrééñshót bélów thát áftér thé révérsé TCP háñdlér stárts, thé ñéxt stép ís tó ópéñ á háñds-óñ Métérprétér rémóté shéll séssíóñ tó thé víctím máchíñé stráíght áwáý — wíthóút thé ñééd tó séñd áñý fúrthér páýlóáds súch ás á stágé.]

[Fróm~ thé s~créé~ñshó~t bél~ów, wé~ cáñ s~éé th~át th~éré í~s thé~ éxtr~á sté~p óf s~éñdí~ñg th~é stá~gé áf~tér t~hé st~ágér~ máké~s á cá~llbá~ck tó~ thé á~ttác~kér í~ñfrá~strú~ctúr~é: “séñ~díñg~ stág~é (175174) tó 203.0.113.1.”]

[Áñóthér dífféréñcé bétwééñ stágéd áñd stágéléss ís thé sízé óf thé páýlóáds. Íñ thé scrééñshót bélów, thé stágéléss páýlóád (méétíñg_úpdáté_stágéléss.éxé) ís múch lárgér át 245KB cómpáréd tó thé stágéd íñítíál páýlóád (wéb1_méétíñg_úpdáté.éxé) át 73KB.]

[Whát~ ís sh~éllc~ódé¿~]

[Shéllcódé ís á málícíóús códé thát áttémpts tó híjáck thé ñórmál flów óf á rúññíñg prógrám íñ cómpútér mémórý. Ít théñ rédírécts thé flów só thát thé málícíóús códé ís éxécútéd, íñstéád óf thé ñórmál prógrám, gívíñg thé áttáckér á shéll ór háñds-óñ áccéss. Thésé áré óftéñ béácóñs ór páýlóáds íñ thé fórm óf lów-lévél prógrámmíñg códé ór á máchíñé códé cómbíñéd wíth áñ éxplóít. Éxplóíts áré píécés óf lów-lévél ór ñátívé códé thát súccéssfúllý lévérágé á vúlñérábílítý.]

[Éxplóítéd vúlñérábílítíés óftéñ íñvólvé á búffér óvérflów íñ áñ ápplícátíóñ’s mémórý whéré thé áttáckér hás óvérrúñ thé állócátéd mémórý tó rédíréct ñórmál prógrám flów. Á súccéssfúl éxplóít wíll théñ léád tó thé éxécútíóñ óf á páýlóád, whích ís thé málwáré.]

[Íñ ít~s púr~ést f~órms~, Shél~lcód~é wíl~l bé ñ~átív~é ór á~ssém~blý c~ódé c~ómmó~ñlý ú~séd í~ñ mém~órý-r~élát~éd éx~plóí~ts.]

[Thé é~xámp~lé bé~lów s~hóws~ Pówé~rshé~ll (ps~1) shél~lcód~é.]

[Thís pártícúlár éxámplé úsés á Wíñdóws Dýñámíc Líñk Líbrárý (DLL) íñjéctéd íñtó mémórý víá á réfléctívé lóádér. Thé shéllcódé ís géñérátéd íñ álpháñúméríc fórm. Óñcé súccéssfúllý éxécútéd, ít cáñ cóññéct báck tó thé áttáckér víá á révérsé DÑS TCP séssíóñ géñérátéd fróm thé Métásplóít Fráméwórk.]

[Thé chóícé óf délívérý mécháñísm, thé týpé óf éxplóít, áñd thé vúlñéráblé tárgét sýstém áll gó tó détérmíñé thé chóícé óf béácóñ ór páýlóád tíéd tó thé áttáck. Thé éxplóít ís úséd tó táké ádváñtágé óf á vúlñéráblé ápplícátíóñ béfóré gáíñíñg áccéss tó thé úñdérlýíñg ópérátíñg sýstém. Íñ súch á cásé, spécífíc códé fór thé córréspóñdíñg ápplícátíóñ máý bé úséd (é.g., PHP ór ÁSP fór wéb sérvér fróñt-éñd ápplícátíóñs).]

[Shél~lcód~é chá~ráct~érís~tícs~]

[Thér~é áré~ sómé~ ímpó~rtáñ~t cóñ~sídé~rátí~óñs á~ñd ch~árác~térí~stíc~s tó é~ñsúr~é súc~céss~fúl S~héll~códé~ éxéc~útíó~ñ áñd~ máíñ~táíñ~ hígh~ ópér~átíó~ñál s~écúr~ítý.]

[Thé c~ódé m~úst:]

• [Hávé~ áll t~hé íñ~strú~ctíó~ñs ñé~édéd~ tó éx~écút~é thé~ désí~réd s~héll~ whíl~é stí~ll bé~íñg r~élát~ívél~ý smá~ll íñ~ sízé~.]
• [Bé “pó~sítí~óñ íñ~dépé~ñdéñ~t” íñ m~émór~ý — thí~s ís c~rúcí~ál sí~ñcé í~t ís ó~ftéñ~ ñót p~óssí~blé t~ó kñó~w whé~ré ít~ wíll~ bé ló~ádéd~ íñ th~é tár~gét v~úlñé~rábl~é pró~céss~’ mémó~rý bé~fóré~háñd~.]
• [Ñót c~óñtá~íñ áñ~ýthí~ñg th~át có~úld c~áúsé~ póté~ñtíá~l érr~órs ó~r cáú~sé th~é éñt~íré p~rócé~ss tó~ crás~h; fór~ éxám~plé, d~úé tó~ ñúll~ chár~ácté~rs (0x00).]
• [Bé cá~pábl~é óf p~íggý~báck~íñg ó~ñ sóm~é éxí~stíñ~g mém~órý á~llóc~átíó~ñ úsí~ñg só~mé íñ~jéct~íóñ t~échñ~íqúé~s — cód~é ór r~éflé~ctíó~ñ íñj~éctí~óñ.]

[Fróm thís póíñt, thé áttáckér wíll théñ ñééd tó séléct thé ápprópríáté póst-éxplóít éxécútáblé týpé tó éxécúté óñ thé tárgét sýstém, súch ás ÉXÉ ór DLL fór Wíñdóws, ÉLF fór Líñúx, áñd ÁPKs fór Áñdróíd. Ágáíñ, mémórý-óñlý póst-éxplóítátíóñ téchñíqúés áré préférréd tó íñcréásé ópérátíóñál sécúrítý.]

[Whát~ ís có~dé íñ~jéct~íóñ á~ñd DL~L íñj~éctí~óñ¿]

[DLL í~ñjéc~tíóñ~ ís th~é pró~céss~ óf rú~ññíñ~g cód~é (DLL~) íñ th~é cóñ~téxt~ óf áñ~óthé~r pró~céss~. Mété~rpré~tér p~áýló~áds ú~sé DL~L íñj~éctí~óñ té~chñí~qúés~ fór s~téál~th áñ~d évá~síóñ~ méch~áñís~ms.]

[Íñ Wíñdóws, á Dýñámíc Líñk Líbrárý ór DLL (“Sháréd Líbrárý” íñ Líñúx) ís á píécé óf códé stóréd ás á sháréd líbrárý fílé. Thís méáñs thát ít cáñ bé úséd bý dífféréñt cómpútér prógráms ás áñd whéñ théý ñééd ít. Thé ópérátíñg sýstém (íñ thís cásé, Wíñdóws) háñdlés wrítíñg áñd lóádíñg thé líbrárý, whích ís dóñé át rúñtímé. Á prógrám cáñ símplý cáll ór référéñcé thé réqúíréd DLL fílé tó úsé thé códé cóñtáíñéd wíthíñ ít.]

[Thís~ ís ús~éfúl~ fór p~rógr~ámmé~rs bé~cáús~é thé~ý óñl~ý wrí~té có~dé óñ~cé, có~mpíl~é áñd~ stór~é ít á~s á sh~áréd~ líbr~árý ó~r DLL~, théñ~ úsé í~t whé~ñévé~r ñéé~déd á~ñd bý~ múlt~íplé~ próg~ráms~.]

[Thé máíñ dífféréñcé bétwééñ á DLL áñd áñ ÉXÉ fílé ís thát á DLL cáññót rúñ íñdépéñdéñtlý. Ít ñééds á prógrám líké áñ ÉXÉ tó cáll ór référéñcé áñd théñ rúñ ít. Thé fóllówíñg éxámplé shóws DLL fílés íñ á Wíñdóws ópérátíñg sýstém, whích áré týpícállý stóréd íñ thé C:\Wíñdóws\ WíñSxS fóldér (WíñSxS stáñds fór Wíñdóws Sídé-bý-Sídé).]

[Thé cápábílítíés óf DLLs álsó máké thém vérý úséfúl fór thréát áctórs. Códé Íñjéctíóñ át thé básíc lévél íñvólvés áñ áttémpt bý óñé prócéss (málícíóús) áttáchíñg (ór óbtáíñíñg á háñdlé) tó á rémóté prócéss (víctím prócéss). Ít théñ állócátés éñóúgh mémórý ór cháñgíñg págé pérmíssíóñs íñ thé víctím prócéss tó rúñ ñéw códé súch ás á DLL, áftér whích cópýíñg (íñjéctíñg) thé DLL málícíóús códé íñtó thé ñéw ór álréádý rúññíñg víctím prócéss' mémórý spácé.]

[Á ñéw~ thré~ád, wh~ích í~s hów~ próc~éssé~s éxé~cúté~ spéc~ífíc~ tásk~s, ís t~héñ s~tárt~éd íñ~ thé v~íctí~m pró~céss~ tó rú~ñ thé~ íñst~rúct~íóñs~ cóñt~áíñé~d íñ t~hé íñ~jéct~éd có~dé ór~ DLL.]

[Á thréád shárés thé sámé mémórý spácé ás thé prócéss thát stártéd ít, whéréás dífféréñt prócéssés hávé dístíñct állócátéd mémórý spácés, éspécíállý íñ cásés whéré théý dó ñót sháré áñý váríáblés. Thís ís éñfórcéd bý thé ópérátíñg sýstém. Hówévér, ópérátíñg sýstéms próvídé mécháñísms fór prócéssés tó cómmúñícáté whéñ réqúíréd úsíñg Íñtér-Prócéss Cómmúñícátíóñ (ÍPC), súch ás Pípés (ñáméd ór áñóñýmóús), Sóckéts, Sémáphórés, Sháréd Mémórý, áñd Mésságé Qúéúés.]

[Íñ Wí~ñdów~s ópé~rátí~ñg sý~stém~s, cód~é íñj~éctí~óñ íñ~vólv~és ús~íñg l~égít~ímát~é Wíñ~dóws~ ÁPÍs~ áñd f~úñct~íóñs~ fór m~álíc~íóús~ áíms~. Fór é~xámp~lé:]

• [Ópéñ~Próc~éss í~s úsé~d tó g~áíñ á~ háñd~lé íñ~tó á p~rócé~ss,]
• [Vírt~úálÁ~llóc~Éx th~éñ fá~cílí~táté~s áll~ócát~íñg é~ñóúg~h mém~órý í~ñ thá~t rém~óté p~rócé~ss ór~,]
• [Vírt~úálP~róté~ctÉx~ máý b~é úsé~d tó ó~vérr~ídé m~émór~ý (pág~é) pér~míss~íóñs~, áñd t~héñ]
• [Wrít~éPró~céss~Mémó~rý wr~ítés~ thé m~álíc~íóús~ códé~, súch~ ás á D~LL íñ~tó th~é víc~tím p~rócé~ss.]
• [Créá~téRé~móté~Thré~ád, Rt~lCré~átéÚ~sérT~hréá~d ór Ñ~tCré~átéT~hréá~dÉx í~s úsé~d tó c~réát~é á ñé~w thr~éád (w~hích~ ís hó~w pró~céss~és éx~écút~é spé~cífí~c tás~ks) áñ~d éxé~cúté~ thé m~álíc~íóús~ cápá~bílí~tý, sú~ch ás~ stéá~líñg~ créd~éñtí~áls ó~r éxé~cútí~ñg rá~ñsóm~wáré~.]

[Lóádíñg á DLL íñ Wíñdóws réqúírés cállíñg thé LóádLíbrárýÁ ór LóádLíbrárýÉxÁ fúñctíóñs, whích ís párt óf líblóádérápí.h. Thésé fúñctíóñs, ás Mícrósóft púts ít, “lóád thé spécífíéd módúlé íñtó thé áddréss spácé óf thé cállíñg prócéss.” Úsíñg LóádLíbrárý tó lóád á DLL méáñs thé DLLs múst bé lóádéd fróm dísk.]

[Hówévér, úsíñg thé réfléctívé DLL íñjéctíóñ téchñíqúé, á DLL cáñ bé lóádéd díréctlý fróm mémórý, á cápábílítý ñót cúrréñtlý ófféréd bý LóádLíbrárý. Á thréát áctór cáñ úsé réfléctívé DLL íñjéctíóñ tó sélf-lóád théír málícíóús códé éñtírélý íñ mémórý wíthóút thé ñééd fór íñvókíñg thé ñátívé Wíñdóws lóádér óñ dísk. Héré, théý útílísé á cústóm lóádér íñstéád óf thé Wíñdóws LóádLíbrárý.]

[Áttá~ckér~s máý~ álsó~ úsé ó~thér~ íñjé~ctíó~ñ áñd~ próc~éss m~áñíp~úlát~íóñ t~échñ~íqúé~s, súc~h ás:]

• [Prócéss hóllówíñg — Whéré málwáré wíll stárt á víctím prócéss íñ á súspéñdéd státé.Ít théñ hóllóws óút thé mémórý tó máké róóm fór ñéw códé, cháñgés págé pérmíssíóñs, íñjécts málícíóús códé, áñd résúmés thé prócéss tó éxécúté thé íñjéctéd málícíóús códé.]
• [DLL sídé-lóádíñg — Whéré á légítímáté áñd óftéñ óldér vúlñéráblé Wíñdóws prógrám (víctím prócéss) ís fórcéd íñtó lóádíñg á málícíóús DLL, whích ís délíbérátélý ñáméd thé sámé ás á légítímáté óñé éxpéctéd bý thé víctím áñd plácéd íñ thé sámé díréctórý (sídé bý sídé) ás thé vúlñéráblé prógrám. Thé víctím prógrám’s prócéss wíll lóók íñ íts ímmédíáté fóldér fírst tó lócáté thé réñáméd (ímpérsóñátéd) málícíóús DLL. Thís téchñíqúé cápítálísés óñ thé DLL séárch órdér úséd bý thé Wíñdóws lóádér tó súccééd.]

[Thés~é téc~hñíq~úés á~ttém~pt tó~ máké~ málí~cíóú~s áct~ívít~ý ápp~éár l~égít~ímát~é, thé~rébý~ évád~íñg d~étéc~tíóñ~ tó pé~rsís~t óñ á~ cómp~rómí~séd s~ýsté~m.]

[Fróm~ thé p~rócé~ss má~ñípú~látí~óñ té~chñí~qúés~ dísc~ússé~d íñ p~árt ó~ñé óf~ thís~ sérí~és, wé~ cáñ s~éé bé~lów t~hát t~hé mí~grát~íóñ ó~f thé~ óríg~íñál~ málí~cíóú~s wéb~1_méé~tíñg~_úpd~áté.é~xé íñ~vólv~éd só~mé có~dé íñ~jéct~íóñ.]

[Íñ thís éxámplé, thé málícíóús páýlóád stártéd (spáwñéd) á cómplétélý ñéw ñótépád.éxé prócéss ás thé désíréd víctím prócéss tó íñjéct códé. Thé órígíñál málícíóús prócéss (PÍD 2472) ís théñ íñjéctéd ór mígrátéd íñtó thé ñéw ñótépád.éxé víctím prócéss (PÍD 1768).]

[Ñótépád.éxé ís á trústéd Mícrósóft prócéss, áñd ás súch, thís gívés thé áttáckér thé ábílítý tó dísgúísé thé órígíñál málícíóús-lóókíñg prócéss tó á móré trústéd óñé. Ñótépád.éxé ís á básíc Wíñdóws téxt édítór thát dóés ñót ñééd tó cáll (référéñcé) áñý Wíñdóws ÁPÍ, fúñctíóñ ór DLL réqúíréd fór ñétwórk cóññéctíóñ — whích íñ óúr éxámplé, thé málícíóús prócéss éxécútéd.]

[Dýñámíc áñálýsís ís réqúíréd tó détéct thé íñjéctíóñ háppéñíñg íñ mémórý. Ápplícátíóñ dépéñdéñcý máppíñg ís álsó ñéédéd tó détéct thé súspícíóús ñétwórk cómmúñícátíóñs óf thé téxt édítór, íñ thís cásé ñótépád.éxé prócéss, mákíñg á ñétwórk cóññéctíóñ.]

[Cóñc~lúsí~óñ]

[Fóll~ówíñ~g óñ f~róm p~árt ó~ñé óf~ thís~ blóg~ sérí~és, wé~ hávé~ lóók~éd só~mé óf~ thé c~átég~óríé~s áñd~ týpé~s óf p~áýló~áds t~hát á~ thré~át ác~tór m~áý ús~é áñd~ whý t~héý m~áý dé~cídé~ tó ús~é óñé~ týpé~ óvér~ áñót~hér.]

[Móst thréát áttáckérs wíll gó tó gréát léñgths tó éñsúré thát théý hávé á súccéssfúl íñítíál éñtrý, máíñtáíñ pérsístéñcé, áñd ávóíd détéctíóñ. Wé hávé sééñ só fár thát thé cómbíñátíóñ óf tóóls, téchñíqúés áñd prócédúrés méáñs thát áñ éqúállý cápáblé cómbíñátíóñ óf sécúrítý tóóls áñd prócédúrés ís ñéédéd tó prévéñt á súccéssfúl áttáck — ór móré líkélý tó ássúmé bréách áñd prévéñt áñ íñítíál cýbér íñcídéñt fróm bécómíñg á májór bréách.]

[Íñ th~é fíñ~ál pá~rt óf~ thís~ sérí~és, wé~ wíll~ dísc~úss s~ómé m~óré t~échñ~íqúé~s áñd~ cápá~bílí~tíés~ áñd, m~óst í~mpór~táñt~lý, éx~plór~é áñá~lýsí~s áñd~ mítí~gátí~óñ.]