{"id":995,"date":"2022-06-04T18:34:51","date_gmt":"2022-06-04T16:34:51","guid":{"rendered":"https:\/\/pentester.blog\/?p=995"},"modified":"2022-06-04T20:47:02","modified_gmt":"2022-06-04T18:47:02","slug":"mavinject-ou-comment-microsoft-facilite-linjection-de-code-malveillant","status":"publish","type":"post","link":"https:\/\/hacktarus.fr\/?p=995","title":{"rendered":"Mavinject o\u00f9 comment Microsoft facilite l’injection de code malveillant"},"content":{"rendered":"\n

Si vous n’\u00eates pas un f\u00e9ru des LOLBins – vous savez les binaires Microsoft qui d\u00e9tourn\u00e9s de leur usage standard peuvent r\u00e9aliser des actions malveillantes (https:\/\/lolbas-project.github.io\/) – alors vous n’avez probablement jamais entendu parl\u00e9 de mavinject.exe.<\/p>\n\n\n\n

Cette ex\u00e9cutable est utilis\u00e9 par la technologie App-V de Microsoft, de la virtualisation d’applications, chose que l’on ne rencontre pas forc\u00e9ment tr\u00e8s souvent sur des postes de travail lambda.<\/p>\n\n\n\n

Tout \u00e7a pour dire que si vous n’utilisez pas cette technologie App-V alors vous avez sur votre syst\u00e8me un ex\u00e9cutable sign\u00e9 par Microsoft, l\u00e9gitime, qui permet comme par magie, en une seule ligne de commande d’injecter du code (une DLL) dans les processus Windows.<\/p>\n\n\n\n

Un petit exemple vaut mieux qu’un long discours.<\/p>\n\n\n\n

Imaginez un document Office malveillant qui enregistre une DLL quelque part sur votre syst\u00e8me, disons pour faire simple dans C:\\Temp<\/p>\n\n\n\n

La macro n’a qu’une seule ligne de code \u00e0 ex\u00e9cuter pour charger cette DLL dans un processus actif, par exemple dans l’explorateur de fichiers.<\/p>\n\n\n\n

Cet exemple n’est pas si anodin, l’explorateur de fichiers (explorer.exe) est souvent utilis\u00e9 pour h\u00e9berger du code malveillant car il est toujours charg\u00e9 en m\u00e9moire.<\/p>\n\n\n\n

L’injection de code ne n\u00e9cessite que le PID (Process ID) du processus cible, par exemple ici mon explorateur de fichiers a le PID 1700 :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Ensuite il n’y a plus qu’\u00e0 lancer mavinject.exe (il se trouve dans C:\\windows\\System32 et C:\\windows\\SysWOW64) avec le PID cible et le chemin de la DLL \u00e0 injecter :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Et boum la DLL est charg\u00e9e dans l’espace m\u00e9moire de l’explorateur de fichiers comme on peut le voir ci-dessous (injectme64.dll pr\u00e9sent dans la liste des DLL charg\u00e9es par le processus explorer.exe) :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

et forc\u00e9ment le code de la DLL est ex\u00e9cut\u00e9e (DllMain) :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Moralit\u00e9, il s’agit d’une technique extr\u00eamement simple fournie par Microsoft pour tout acteur malveillant qui souhaite cacher du code dans des processus et par la m\u00eame occasion bypasser les solutions de contr\u00f4les d’applications (comme Applocker par exemple), pas mal non ?<\/p>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Si vous n’\u00eates pas un f\u00e9ru des LOLBins – vous savez les binaires Microsoft qui d\u00e9tourn\u00e9s de leur usage standard peuvent r\u00e9aliser des actions malveillantes (https:\/\/lolbas-project.github.io\/) – alors vous n’avez probablement jamais entendu parl\u00e9 de mavinject.exe. Cette ex\u00e9cutable est utilis\u00e9 par la technologie App-V de Microsoft, de la virtualisation d’applications, chose que l’on ne rencontre … Continuer la lecture de Mavinject o\u00f9 comment Microsoft facilite l’injection de code malveillant<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-995","post","type-post","status-publish","format-standard","hentry","category-pentest"],"_links":{"self":[{"href":"https:\/\/hacktarus.fr\/index.php?rest_route=\/wp\/v2\/posts\/995","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hacktarus.fr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hacktarus.fr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hacktarus.fr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hacktarus.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=995"}],"version-history":[{"count":24,"href":"https:\/\/hacktarus.fr\/index.php?rest_route=\/wp\/v2\/posts\/995\/revisions"}],"predecessor-version":[{"id":1024,"href":"https:\/\/hacktarus.fr\/index.php?rest_route=\/wp\/v2\/posts\/995\/revisions\/1024"}],"wp:attachment":[{"href":"https:\/\/hacktarus.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=995"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hacktarus.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=995"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hacktarus.fr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=995"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}