T1055Defense EvasionİleriSavunma planı →

Süreç Enjeksiyonu: Klasik DLL'den Process Hollowing ve .NET Reflection'a

HARDEC · Savunma Güvenliği Ekibi·Yayın: 13 Haziran 2026·Güncelleme: 15 Temmuz 2026·18 dk okuma

Windows süreç enjeksiyonu tekniklerinin bütüncül haritası: klasik DLL enjeksiyonundan process hollowing, Doppelgänging, APC/Early Bird ve .NET reflektif assembly yüklemeye kadar her teknik için API zinciri → Sysmon/ETW tespiti → savunma üçlüsü. Kırmızı/mor takım ve SOC/DFIR ekipleri için teknik başvuru kaynağı.

Exploit

Prevention

Detection

Savunma profili:3 detection kuralı 2 önlem 3 baseline kontrolü 3 müdahale playbook'u

Kaydırarak veya oklarla bölümler arasında geçin

Bölüm 1 / 3

Zafiyet (Vulnerability)

Tehdit bağlamı, zafiyet ve istismar senaryosu

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bölüm 2 / 3

Prevention & Hardening

Savunma teknolojileri, policy ve sertleştirme

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bölüm 3 / 3

Detection

Davranış, loglama ve detection kuralları

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bilgilendirme notu

Süreç enjeksiyonu (MITRE T1055) kötü amaçlı kodun meşru bir sürecin bellek alanına yerleştirilerek çalıştırılmasıdır; DLL enjeksiyonu, process hollowing ve reflektif yükleme başlıca varyantlardır. Sysmon Event ID 8 (CreateRemoteThread) ve ID 10 (ProcessAccess) kritik log kaynaklarıdır. EDR çözümleri VirtualAllocEx + WriteProcessMemory + CreateRemoteThread dizisini davranışsal olarak işaretlemelidir. .NET tabanlı reflektif yükleme disk artefaktı bırakmadığından bellek taraması ve telemetri odaklı yaklaşım zorunludur.

Detection kuralları

Bu tekniği tespit eden, doğrudan kopyalanabilir kurallar (Sigma/KQL/…). Her kuralın gereken telemetrisi, olgunluğu ve kaynağı belirtilir.

ASLR Disabled Via Sysctl or Direct Syscall - Linux

Detects actions that disable Address Space Layout Randomization (ASLR) in Linux, including: - Use of the `personality` syscall with the ADDR_NO_RANDOMIZE flag (0x0040000) - Modification of the /proc/sys/kernel/randomize_va_space file - Execution of the `sysctl` command to set `kernel.randomize_va_space=0` Disabling ASLR is often used by attackers during exploit development or to bypass memory protection mechanisms. A successful use of these methods can reduce the effectiveness of ASLR and make memory corruption attacks more reliable.

high

sigmaDeneysel

Kuralı gösterKuralı gizle

title: ASLR Disabled Via Sysctl or Direct Syscall - Linux
id: e497a24e-9345-4a62-9803-b06d7d7cb132
status: experimental
description: |
    Detects actions that disable Address Space Layout Randomization (ASLR) in Linux, including:
      - Use of the `personality` syscall with the ADDR_NO_RANDOMIZE flag (0x0040000)
      - Modification of the /proc/sys/kernel/randomize_va_space file
      - Execution of the `sysctl` command to set `kernel.randomize_va_space=0`
    Disabling ASLR is often used by attackers during exploit development or to bypass memory protection mechanisms.
    A successful use of these methods can reduce the effectiveness of ASLR and make memory corruption attacks more reliable.
references:
    - https://github.com/CheraghiMilad/bypass-Neo23x0-auditd-config/blob/f1c478a37911a5447d5ffcd580f22b167bf3df14/personality-syscall/README.md
    - https://man7.org/linux/man-pages/man2/personality.2.html
    - https://manual.cs50.io/2/personality
    - https://linux-audit.com/linux-aslr-and-kernelrandomize_va_space-setting/
author: Milad Cheraghi
date: 2025-05-26
modified: 2025-12-05
tags:
    - attack.privilege-escalation
    - attack.stealth
    - attack.defense-impairment
    - attack.t1685
    - attack.t1055.009
logsource:
    product: linux
    service: auditd
detection:
    selection_syscall:
        type: 'SYSCALL'
        SYSCALL: 'personality'
        a0: 40000
    selection_sysctl:
        type: 'EXECVE'
        a0: 'sysctl'
        a1: '-w'
        a2: 'kernel.randomize_va_space=0' # 0 = disable
    condition: 1 of selection_*
falsepositives:
    - Debugging or legitimate software testing
level: high

Doğrulanmadı

Çalışması için gereken telemetri: linux; auditdlinux / auditdlinux

Yanlış pozitif: Debugging or legitimate software testing

Kaynak: SIGMA · Detection Rule License (DRL) 1.1 · orijinal kural

Önlemler

Bu tekniği azaltan/engelleyen prevention ve hardening önlemleri.

Behavior Prevention on Endpoint

Prevention

Defender ASR kurallari ve Office makro kisitlari ile yaygin saldiri davranislarini engelle.

Bilgilendirme notu

Bilgilendirme notu: Uç noktada davranış önleme, imza tabanlı AV'nin ötesinde EDR ve XDR yeteneklerini kapsar. Microsoft Defender ASR kuralları; Office uygulamalarının çocuk süreci oluşturmasını, e-postadan gelen yürütülebilir içeriği ve PowerShell enjeksiyonunu durdurur. ASR kuralları ilk aşamada denetim modunda dağıtılarak yanlış pozitif oranı değerlendirildikten sonra blok moduna alınmalıdır.

Privileged Account Management

Prevention

Ayricalikli hesap sayisini ve kullanimini minimumda tut: Domain Admins hijyeni, LAPS, JIT/PIM.

Bilgilendirme notu

Bilgilendirme notu: Ayrıcalıklı hesap yönetiminde JIT (Just-In-Time) erişim modeli, sürekli yönetici oturumlarının ele geçirilme riskini ortadan kaldırır. PAM çözümleri parola kasası, oturum kaydı ve onay iş akışı sunarak denetlenebilirlik sağlar. Bulut ortamlarında root hesapların günlük işlemlerde kullanılmaması ve PIM aracılığıyla zaman sınırlı yetki atanması modern güvenlik rehberliğinin temelidir.

Bu tekniğe karşı baseline kontrolleri

Aşağıdaki güvenlik baseline kontrolleri bu tekniği azaltır. Kurumunuzun yapılandırmasını ilgili baseline ile .

Müdahale playbook'ları

Bu teknik tespit edildiğinde izlenecek NIST/SANS fazlı müdahale akışları.

Defense Evasion tactic'indeki teknikler

T1562.001Defense EvasionUzman

Modern EDR'lerin userland API kancaları, kernel callback'leri ve ETW telemetrisini nasıl kullandığını; saldırganların direct/indirect syscall, NTDLL unhooking, ETW/AMSI patching ve call stack spoofing ile bu katmanları nasıl hedeflediğini ve savunmacıların ETW-TI, kernel call stack analizi, telemetri bütünlüğü izleme ile bunları nasıl tespit ettiğini açıklar. ATT&CK: T1562.001, T1106, T1027.007, T1620, T1574.013.

13 Haziran 202614 dk okuma

Exploit

Prevention

Detection

Referanslar

MITRE ATT&CK — T1055: Süreç Enjeksiyonu: Klasik DLL'den Process Hollowing ve .NET Reflection'a ↗

Bu makale MITRE ATT&CK çerçevesine dayanır; tespit, savunma ve müdahale içeriği bağımsız olarak hazırlanmıştır.

title: Suspicious CreateRemoteThread from Unusual Source Process id: 5a1d3f8b-2e6c-4b9d-8f1a-3c7e2d5b9f4e status: experimental description: | Detects process injection via CreateRemoteThread (Sysmon Event ID 8) where the source process is an unusual or suspicious executable. Legitimate remote thread creation is rare and typically limited to debuggers and security tools. Attackers use CreateRemoteThread to inject shellcode or DLLs into legitimate processes (explorer.exe, svchost.exe, etc.) to evade detection and inherit target process privileges. Office applications, scripting hosts, and browsers creating remote threads are particularly high-fidelity indicators. references: - https://attack.mitre.org/techniques/T1055/ - https://github.com/SigmaHQ/sigma/blob/master/rules/windows/create_remote_thread/create_remote_thread_win_susp_source_image.yml - https://github.com/trustedsec/SysmonCommunityGuide/blob/master/chapters/create-remote-thread.md - https://www.elastic.co/guide/en/security/current/prebuilt-rule-8-17-4-suspicious-lsass-process-access.html author: CyberSecLab (AI) date: 2026-06-13 tags: - attack.defense_evasion - attack.privilege_escalation - attack.t1055 logsource: category: create_remote_thread product: windows detection: selection_suspicious_source: SourceImage|endswith: - '\powershell.exe' - '\pwsh.exe' - '\cmd.exe' - '\mshta.exe' - '\wscript.exe' - '\cscript.exe' - '\regsvr32.exe' - '\rundll32.exe' - '\msiexec.exe' - '\winword.exe' - '\excel.exe' - '\outlook.exe' - '\powerpnt.exe' - '\msaccess.exe' - '\mspub.exe' - '\firefox.exe' - '\chrome.exe' - '\iexplore.exe' - '\notepad.exe' - '\certutil.exe' - '\bitsadmin.exe' - '\wmic.exe' filter_known_legitimate: TargetImage|endswith: - '\WerFault.exe' - '\werfault.exe' SourceImage|endswith: - '\WerFault.exe' condition: selection_suspicious_source and not filter_known_legitimate falsepositives: - Güvenlik ürünleri (EDR, AV) process enjeksiyonu simüle edebilir - Visual Studio veya diğer hata ayıklayıcılar CreateRemoteThread kullanabilir - Bazı meşru yazılımlar (örneğin ekran okuyucular) bu yöntemi kullanabilir level: high

title: Suspicious High-Privilege Process Access to LSASS or Explorer for Injection id: b9f2a4c7-3e1d-4a8b-9c5f-2d7e6b0a3f1c status: experimental description: | Detects suspicious cross-process access (Sysmon Event ID 10) to high-value target processes (lsass.exe, explorer.exe, svchost.exe, winlogon.exe) with elevated access rights typically used for process injection (0x1F0FFF, 0x1FFFFF PROCESS_ALL_ACCESS; 0x0820 for shellcode writing and thread creation). PROCESS_ALL_ACCESS on lsass is a common indicator of credential dumping combined with injection. The CallTrace field is used to filter out legitimate callers (known Windows DLLs) and highlight cases where unknown/suspicious DLLs are on the call stack. references: - https://attack.mitre.org/techniques/T1055/ - https://github.com/trustedsec/SysmonCommunityGuide/blob/master/chapters/process-access.md - https://www.elastic.co/guide/en/security/current/prebuilt-rule-8-17-4-suspicious-lsass-process-access.html - https://www.ired.team/offensive-security/code-injection-process-injection author: CyberSecLab (AI) date: 2026-06-13 tags: - attack.defense_evasion - attack.privilege_escalation - attack.credential_access - attack.t1055 logsource: category: process_access product: windows detection: selection_target_sensitive: TargetImage|endswith: - '\lsass.exe' - '\explorer.exe' - '\winlogon.exe' - '\csrss.exe' selection_access_rights: GrantedAccess|contains: - '0x1F0FFF' - '0x1FFFFF' - '0x143A' - '0x0820' - '0x1410' filter_legitimate_tools: SourceImage|contains: - '\Windows\System32\' - '\Windows\SysWOW64\' SourceImage|endswith: - '\csrss.exe' - '\lsm.exe' - '\wmiprvse.exe' - '\taskmgr.exe' - '\procexp.exe' - '\procexp64.exe' - '\procmon.exe' - '\procmon64.exe' - '\MsMpEng.exe' - '\SenseIR.exe' filter_access_benign: GrantedAccess: - '0x1000' - '0x1400' - '0x100000' - '0x40' - '0x3200' condition: (selection_target_sensitive and selection_access_rights) and not (filter_legitimate_tools or filter_access_benign) falsepositives: - Windows Defender ve EDR ürünleri lsass.exe'ye erişim yapabilir - Process Explorer, Process Monitor gibi sistem izleme araçları - Meşru yedekleme yazılımları explorer.exe'ye erişebilir level: high

Süreç Enjeksiyonu: Klasik DLL'den Process Hollowing ve .NET Reflection'a

Zafiyet (Vulnerability)

Bu bölüm henüz açık değil

Prevention & Hardening

Bu bölüm henüz açık değil

Detection

Bu bölüm henüz açık değil

Detection kuralları

ASLR Disabled Via Sysctl or Direct Syscall - Linux

Önlemler

Behavior Prevention on Endpoint

Privileged Account Management

Bu tekniğe karşı baseline kontrolleri

Müdahale playbook'ları

Defense Evasion tactic'indeki teknikler

Referanslar

Process Injection - CreateRemoteThread Şüpheli Kaynak Süreç

Process Injection - lsass/explorer Yüksek Yetkili Process Access

Active Directory Güven ve Orman Saldırıları: SID History, Güven Anahtarı ve Ormanlar Arası Yükseltme

Süreç Enjeksiyonu — Aktif C2 ve Domain Compromise Müdahalesi

Bellek Edinimi ve Volatility Triyajı — Süreç Enjeksiyonu Müdahalesi

Süreç Enjeksiyonu Şüphesi — Triyaj ve Kontrollü Müdahale