プロセス・ゴースティングとは【用語集詳細】

カテゴリ

用語集 

タグ

用語集  用語集：は行  用語集：ふ  サイバー攻撃・ハッキング  OS 

・ プロセス・ゴースティング（Process Ghosting）は特殊なプロセスの生成を行うことで悪意あるコードの実行を可能とするプロセス改ざん（タンパリング）技術の1つです。プロセス・ゴースティングは、セキュリティ製品による検知を回避する目的で攻撃者やレッドチームに利用されます。

この攻撃技術では、特定のAPIを用いてファイルの生成と削除を行い、実行ファイルに紐づかないプロセスを生成します。ファイル作成に伴うイメージセクションの作成と、イメージセクションにおけるプロセス生成が行われた後、実行ファイル自体が削除されます。
このように生成されたプロセスには元となる実行ファイルが既に存在せず、解析を行うことができないため、アンチウイルスやEDRの検知を回避する場合があります。

類似のプロセス改ざんによる検知回避技術として、プロセス・ドッペルゲンジングやプロセス・ハーパダーピング等があります。
プロセス・ゴースティングはElastic SecurityのGabriel Landau氏によって命名され（外部リンク）、PoCやMicrosoft社の解説記事等も公開されています。