Inyección de procesos — lo que la delata

Inyectar un proceso es hacer que el código de una muestra corra dentro de la memoria de otro proceso que ya existe. La técnica se recoge en ATT&CK como T1055 («Process Injection») y tiene doce subtécnicas. No se trata aquí cómo se construye ninguna: solo qué hace visible a cada una.

Para meter algo en un proceso ajeno, el autor necesita tres cosas, y cada una deja una huella. Primero abrir el proceso con permisos que permitan escribir en su memoria. Segundo, escribir y marcar esa zona como ejecutable. Tercero, hacer que algo corra allí, por ejemplo creando un hilo. Los tres pasos tienen su evento de telemetría, y ninguno depende de cómo se llame el programa.

El evento 10 de Sysmon registra cuando un proceso abre otro y con qué permisos. La mayoría de los accesos son de lectura limitada: una herramienta de monitoreo o el administrador de tareas pregunta por el estado de un proceso. Los permisos que dicen otra cosa son los que permiten modificar la memoria ajena y crear hilos en ella.

Entre los nombres de permiso hay uno que concreta lo más importante: poder escribir en la memoria de otro proceso. Esa palabra es la que separa un acceso de mirar de uno de dejar algo.

El evento 8 de Sysmon anota los hilos remotos: un proceso crea un hilo dentro de otro. Hay casos legítimos, como un producto de seguridad que instrumenta un navegador con sus propios módulos. Se separan por dos campos: el proceso destino y dónde empieza el hilo. Un hilo que arranca dentro de una biblioteca conocida y firmada es una cosa; uno que empieza en una dirección sin módulo ni archivo es otra.

El proceso destino es el dato más útil para el equipo de respuesta: es el lugar donde mirar en el resto de la telemetría. Los procesos del sistema que parecen discretos, que existen en todos los equipos y que nadie revisa, suelen ser destinos atractivos.

Cada región de memoria de un proceso tiene una protección (leer, escribir, ejecutar) y puede estar respaldada por un archivo —el programa o una biblioteca cargada desde disco— o no. Una región que se puede escribir y ejecutar a la vez, sin archivo detrás y que empieza como un programa completo (cabecera de ejecutable, que arranca con las letras MZ), no es lo normal dentro de un proceso del sistema. Las herramientas de análisis de memoria listan esas regiones con una búsqueda de regiones sospechosas; aquí se lee su salida de ejemplo.

El identificador de proceso (PID) es la clave para cruzar esa salida con el resto: es el mismo número en la tabla de hilos, en la de accesos y en el árbol de procesos.

La salida de memoria muestra una segunda región con permisos de escribir y ejecutar y sin archivo, en un navegador. No es una inyección: los motores de JavaScript generan código en caliente y para eso necesitan una región así. Ese ejemplo es el motivo de que una región de memoria, por sí sola, nunca sea un hallazgo: se cruza con quién la escribió, con qué hilo empezó allí y con lo que contiene.