プロセス・ドッペルゲンジングとは【用語集詳細】

カテゴリ

用語集 

タグ

用語集  用語集：は行  用語集：ふ  サイバー攻撃・ハッキング  OS 

・ プロセス・ドッペルゲンジング（Process Doppel-gangingあるいはProcess Doppelgänging）は、プロセス・インジェクションの一種であり、実行プロセスのアドレス空間において悪意あるコードを実行するプロセス改ざん（タンパリング）技術です。プロセス・ドッペルゲンジングは、セキュリティ製品による検知を回避する目的で攻撃者やレッドチームに利用されます。

攻撃者はファイルを安全に処理する機能であるトランザクションNTFS（TxF）のAPIを悪用し、セキュリティツールに検知されることなく、メモリ上に生成された悪意あるコード（ドッペルゲンガー・プロセス）を実行します。
正当なファイルに対して行われた悪意あるコードの書き込みが、トランザクションNTFS（TxF）のロールバック機能によって元に戻され、メモリ上にのみペイロードが残されます。

トランザクションNTFSはWindows Vistaに導入され、Windows 8以降は非推奨となりましたが、Windows 10においてもAPIが利用可能です。
このAPIはセキュリティツールが一般的に監視するプロセス操作APIではないため検知を困難にします。
プロセス・ドッペルゲンジングを発見するにはディスク上のファイルとメモリ上のファイルを比較し、またトランザクションNTFS関連のAPIをモニタリングする必要があります。

プロセス・ドッペルゲンジングはBlack hat Europe 2017において発表されました（外部リンクPDF）