2024-09-03

APIフック (まとめ)

【APIフック】

◆EDR回避 (まとめ)
https://malware-log.hatenablog.com/entry/EDR_Evasion

【ニュース】

■2023年

◆マルウェアがEDRの検出をすり抜ける手口とは (マイナビニュース, 2023/12/28)
https://news.mynavi.jp/techplus/article/20231228-2851486/
⇒ https://malware-log.hatenablog.com/entry/2023/12/28/000000_5

■2024年

◆システムに介入する「フック」の技術 (日経XTECH, 2024/09/03)
https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/111900071/081900058/
⇒ https://malware-log.hatenablog.com/entry/2024/09/03/000000

【ブログ】

■2005年

◆Windows API Hooking Tutorial (Kenji Aiko, 2005/03/25)
https://megalodon.jp/2012-0822-1543-04/ruffnex.oc.to/kenji/text/api_hook/
⇒ https://malware-log.hatenablog.com/entry/2005/03/25/000000

■2007年

◆Winsock API をフックする際に注意すべきこと (DSAS開発者の部屋(KLab), 2007/09/21)
http://dsas.blog.klab.org/archives/51105835.html
⇒ https://malware-log.hatenablog.com/entry/2007/09/21/000000

■2013年

◆APIフック (Cライブラリ関数やWindowsAPIの書き換え) と、その応用例 (@kobake@github(Qiita), 2013/06/14)
https://qiita.com/kobake@github/items/8d3d3637c7af0b270098
⇒ https://malware-log.hatenablog.com/entry/2013/06/14/000000_1

■2015年

◆IAT書き換えによるAPIフックをやってみる (ももいろテクノロジー, 2015/08/10)
https://inaz2.hatenablog.com/entry/2015/08/10/193103
⇒ https://malware-log.hatenablog.com/entry/2015/08/10/000000_2

■2017年

◆notepad.exeをJavaコードをかけない体に改造する (@_pochi(Qiita), 2017/12/14)
https://qiita.com/_pochi/items/4e20e38deee16a7615e1
⇒ https://malware-log.hatenablog.com/entry/2017/12/14/000000_8

◆APIフックに負けない強い体づくり (@_pochi(Qiita), 2017/12/19)
https://qiita.com/_pochi/items/1208af53a9bab4244e9e
⇒ https://malware-log.hatenablog.com/entry/2017/12/19/000000_10

■2020年

◆Agent Tesla：APIフックを削除してEDRを回避 (HP, 2020/11/17)
https://jp.ext.hp.com/blog/security/product/agent-tesla-evading-edr-by-removing-api-hooks/
⇒ https://malware-log.hatenablog.com/entry/2020/11/17/000000_10

◆JavaScriptで書ける！APIフックによるマルウェア動的解析 (川北将(NECセキュリティブログ), 2020/12/04)
https://jpn.nec.com/cybersecurity/blog/201204/index.html
⇒ https://malware-log.hatenablog.com/entry/2020/12/04/000000_14

■2021年

◆APIフックによるアプリケーション誘導 (FineArt, 2021/07/02)
https://www.fineart.co.jp/index.php/jp/new/column/750-apihook
⇒ https://malware-log.hatenablog.com/entry/2021/07/02/000000_14

■2022年

◆APIフックとドライバフック (Fineart, 2022/01/06)
https://www.fineart.co.jp/index.php/jp/new/column/756-api-driverhook
⇒ https://malware-log.hatenablog.com/entry/2022/01/06/000000_8

■2024年

◆攻撃グループ「Earth Freybug」が新型マルウェア「UNAPIMON」を展開：セキュリティ監視用のAPIフックを解除 (Trendmicro, 2024/04/18)
https://www.trendmicro.com/ja_jp/research/24/d/earth-freybug.html
⇒ https://malware-log.hatenablog.com/entry/2024/04/18/000000_10

【図表】

EDRが使用する従来のAPIフックと新しいAPIフック
出典: MalwareTech