Procesos escondidos en memoria

En la sala anterior el proceso malicioso era powershell.exe, hijo imposible de un documento. Pero el atacante también puede meter su código dentro de un proceso de confianza —svchost.exe, explorer.exe— que arrancó de forma legítima y conserva su nombre, su padre correcto y su apariencia normal. Si solo miras la lista de procesos, no hay nada que señalar: todos los nombres cuadran. La inyección no se ve en la lista; se ve en lo que cada proceso tiene dentro de su memoria.

El salto de esta sala es ese: dejar de preguntar «¿qué proceso se llama raro?» y empezar a preguntar «¿qué proceso tiene algo dentro que no debería estar ahí?».

La huella clásica de inyección es una región de memoria con permiso de ejecución y de escritura a la vez, privada del proceso y sin ningún fichero en disco que la respalde. Un módulo normal se carga desde su .dll o .exe en disco, así que su código en memoria apunta a ese fichero; un bloque ejecutable que no tiene de dónde haber salido —nadie lo cargó desde disco— solo pudo llegar ahí porque alguien lo escribió directamente en la memoria del proceso. Herramientas de análisis de memoria listan esas regiones precisamente para eso.

Una zona de memoria que se puede escribir y ejecutar y que no corresponde a ningún archivo es la firma de «código metido a mano». El proceso es real; lo que lleva dentro, no.

Esta huella solo existe en la memoria. En el disco no hay un fichero del implante que mirar —precisamente porque se ejecutó sin tocar disco, o porque se borró—, y la lista de procesos no lo distingue porque el nombre es legítimo. Solo el volcado de RAM, analizado por el contenido de cada proceso, muestra el bloque inyectado. Esto refuerza lo de los módulos anteriores: capturar la memoria con la máquina viva no es un lujo, es la única oportunidad de ver una clase entera de ataques que no dejan rastro en disco.

Si en la contención se hubiera apagado el equipo, esta evidencia no existiría. La inyección en memoria es el mejor argumento de por qué lo volátil se adquiere primero y la máquina no se apaga.

Abre el laboratorio de la memoria a fondo. La lista de procesos es toda de nombres normales; el hallazgo está en la vista de regiones de memoria. Busca el proceso que tiene un bloque privado con permiso de escritura y ejecución y sin respaldo en disco —la firma de la inyección—. La anotación sobre esa región lleva el código de la sala.