新型代碼注入技術Early Bird來襲，輕鬆繞過Windows hook引擎檢測

前言

近期，Cyberbit的安全研究人員通過對各種惡意軟體樣本進行深入分析，發現了一種名為Early Bird的新型代碼注入技術。

該技術至少被三種不同的惡意軟體利用，攻擊者可以通過這些惡意軟體逃避Windows的檢測。

Early Bird是一種簡單而強大的技術，允許攻擊者在其主線程啟動之前將惡意代碼注入到合法進程，從而避免被大多數反惡意軟體產品所使用的Windows hook引擎檢測到。

該技術類似於AtomBombing代碼注入技術，它不依賴於易於檢測的API調用，而是允許惡意軟體以Windows檢測不到的方式將代碼注入進程。

工作原理

Early Bird技術代碼的注入方法依賴於Windows內置的APC（非同步過程調用）函數，該函數允許應用程序在特定線程的上下文中非同步執行代碼。

Early Bird代碼注入的工作原理演示視頻：

http://mmbiz.qpic.cn/mmbiz_png/ndicuTO22p6iboavZVLiaspKqlIJvtmwfHAricFqlicR9086TjOjialyDjOhibJAib6grIdrCibemeulDm1h9a2ibYXsnOxg/0?wx_fmt=png

代碼注入步驟說明

下面介紹攻擊者將惡意代碼注入合法進程的步驟說明：

1. 創建一個合法的Windows進程的暫停進程（例如，svchost.exe）；
2. 在該進程中分配內存（svchost.exe）並將惡意代碼寫入分配的內存區域；

3. 將非同步過程調用（APC）排隊到該進程的主線程（svchost.exe）；
4. 由於APC只能在處於可警告狀態時執行進程，因此只要主線程恢復，就可以調用NtTestAlert函數強制內核執行惡意代碼。