Injection de code

Injecter du code sans WriteProcessMemory en mappant une section partagée à la fois dans le processus local et distant, en écrivant le shellcode via la vue locale, puis en l'exécutant depuis la vue distante.

Détourner un processus GUI en modifiant une entrée de sa KernelCallbackTable dans le PEB pour pointer vers du shellcode injecté, puis déclencher l'exécution avec un message de fenêtre tel que WM_COPYDATA.

Charger une DLL signée bénigne dans un processus cible et écraser sa section de code avec du shellcode, de sorte que la mémoire malveillante soit adossée à un module légitime et échappe aux scanners de mémoire non adossée.

Marquer un fichier de charge utile en suppression différée avant de le mapper dans une section et de créer un processus, de sorte que l'exécutable a disparu du disque au moment où le processus s'exécute — ne laissant aucune image analysable.

Abuser des transactions NTFS pour charger une charge utile dans une section, puis annuler la transaction afin que l'image malveillante ne soit jamais validée sur le disque avant la création d'un processus depuis cette section.

La technique classique d'injection de DLL à distance : allouer le chemin d'une DLL dans un processus cible, l'y écrire, puis lancer un thread distant démarrant sur LoadLibrary pour mapper la DLL dans la victime.