Callback Injection: Техника, которая отправила Microsoft Defender в глухой нокаут

Представьте ситуацию: У вас пентест, у вас есть шеллкод, но Windows Defender блокирует любой подозрительный вызов. CreateRemoteThread

• детектится. QueueUserAPC
• детектится. NtCreateThreadEx
• детектится. Что делать? Ответ: не создавать потоки самому, а попросить Windows сделать это за вас!. Callback Injection
• это техника, при которой вы «одалживаете» легитимный поток Windows, заставляя его выполнить ваш код через официальные callback-механизмы.

Читать далее

Read original