Process Hollowing y Process Doppelgänging en la telemetría

Abre mecanica_inyeccion_procesos.txt en la consola del laboratorio con el entorno rt-inyeccion-edr-guia.

En el vaciado de procesos, el cargador inicia un binario benigno y confiable de Windows (como svchost.exe) en modo congelado mediante la bandera CREATE_SUSPENDED. Antes de que el hilo primario arranque, se vacía su contenido original y se implanta el binario malicioso.

Revisa el apartado 2 en mecanica_inyeccion_procesos.txt.

Para desalojar el ejecutable legítimo que el cargador del sistema mapeó en el espacio de direcciones virtuales, el atacante invoca una función nativa no documentada que libera la sección de memoria donde residía el binario benigno.

Aunque la herramienta Process Explorer muestre el nombre e icono del binario legítimo, los motores de inspección de memoria de los EDR comparan los bytes residentes en la dirección base con la copia auténtica almacenada en el disco duro.

Si encuentran que la cabecera PE en memoria difiere de la firma en disco, o que el punto de entrada apunta a memoria que no corresponde al binario mapeado, el EDR dispara una alerta de vaciado de proceso y finaliza el proceso de inmediato.