⬇ Scarica il santino: ·
Beato Pool Party, che si tuffava nei thread
Patrono dei thread pool di Windows, delle iniezioni di processo e degli EDR che non vengono invitati alla festa.
Vita
Nel dicembre 2023, alla Black Hat Europe, Alon Leviev di SafeBreach presentò otto tecniche di iniezione di processo battezzate Pool Party. Invece dei soliti trucchi, sfruttavano i thread pool di Windows: sovrascrivendo la routine di avvio delle worker factory, o infilando lavoro nelle code di task, timer e I/O, si faceva eseguire codice in un altro processo con azioni che sembravano del tutto legittime. Nei test aggirarono cinque tra i principali prodotti EDR.
Preghiera
O Beato Pool Party, che inviti il nostro codice nella piscina altrui, fa' che i nostri processi eseguano solo il lavoro che hanno scritto. Amen.
Come si festeggia
Si festeggia aggiornando le regole di rilevamento dell'EDR e ricordando che una worker factory non dovrebbe mai cambiare mestiere.
Chi lascia la piscina aperta si ritrova ospiti a nuotare.