AtomBombing: iniezione di codice, non una chiave universale per Windows

Nell'ottobre 2016 enSilo presentò AtomBombing, una tecnica di iniezione di codice che combinava atom table e chiamate asincrone APC. L'obiettivo era eseguire codice nel contesto di un altro processo evitando alcuni percorsi di iniezione più sorvegliati.

La tecnica richiede già esecuzione sul sistema e le condizioni necessarie per interagire con il processo bersaglio. Non è, da sola, un exploit remoto che apre qualsiasi Windows. Scrivere una stringa in una atom table non la trasforma automaticamente in codice eseguito.

Un processo compromesso può esporre dati e funzioni a cui ha accesso. L'iniezione non garantisce però la lettura di tutte le password o il superamento di ogni confine di privilegio. Le capacità dipendono dal processo scelto e dalle protezioni del sistema.

Non esisteva una singola patch equivalente a correggere un normale errore di memoria, ma da questo non deriva che fosse necessario riscrivere tutto Windows. Ridurre l'esecuzione iniziale di malware, limitare privilegi e osservare comportamenti di process injection sono difese pertinenti. Le affermazioni di evasione della ricerca del 2016 non dimostrano invisibilità permanente agli strumenti di sicurezza.

Fonti e verifica

• enSilo/Fortinet: ricerca originale su AtomBombing
• MITRE ATT&CK: APC injection