❌ Миф: если DLL подписана Microsoft, её загрузка безопасна
❌ Миф: если DLL подписана Microsoft, её загрузка безопасна Привет! При расследовании находите процесс с оригинальными DLL Microsoft. Подписи действительны, хеши совпадают. Но это ещё не повод исключать DLL Hijacking. 👨💻 Условно, приложение ищет библиотеку helper.dll по имени, без полного пути. Если каталог атакующего участвует в поиске раньше нужного расположения, Windows может загрузить подставную DLL. ⚡️Чтобы приложение не падало, атакующий может использовать DLL Proxying: его библиотека принимает вызовы и перенаправляет их в оригинальную. А свой код запускает при загрузке. 🚨 Иногда подменять даже основную библиотеку не требуется. Приложение загружает настоящую DLL Microsoft, а у неё есть зависимость, которую Windows тоже ищет по имени. Через такую зависимость можно добиться загрузки постороннего кода. ⚙️ Проверить загрузку библиотек помогает Sysmon Event ID 7. Он показывает путь к DLL, процесс, хеш и сведения о подписи, если сбор таких событий включён. 👀Например, helper.dll загружается из %APPDATA%, хотя обычно должна находиться в каталоге программы. Стоит проверить, кто создал файл и почему приложение выбрало именно этот путь. P.S. При DLL Hijacking оригинальная библиотека может оставаться совершенно нетронутой. Поэтому проверка одних только цифровых подписей такую атаку не выявит. #Мифы #DLLHijacking #Windows #Infosec 🤖Бесплатный ChatGPT