web-dev-qa-db-ja.com

別のアプリケーションのdllに触れることでどのようなプロセスが得られますか？

これはプロセスモニターのスクリーンショットで、AliIM.exeがTeamViewerのdllで何かをしていることを示しています。

Process Monitor Records

TeamViewerはリモートコントロールアプリなので、セキュリティ上の懸念がありますが、これらのアクションによってTeamViewerの資格情報を取得できますか？プロセスは、起動時に管理者権限を要求しません。

「プロセスとスレッドのアクティビティを表示する」が有効になっている、csv形式のプロセスモニターログ。

"Time of Day","Process Name","PID","Operation","Path","Result","Detail"

"7:59:16.2471434 PM","AliIM.exe","30332","Process Start","","SUCCESS","Parent PID: 11168, Command line: ""C:\Program Files (x86)\AliWangWang\AliIM.exe"" /run:desktop, Current directory: C:\Program Files (x86)\AliWangWang\, Environment: 

"7:59:16.2471586 PM","AliIM.exe","30332","Thread Create","","SUCCESS","Thread ID: 29216"

"7:59:16.2940980 PM","AliIM.exe","30332","CreateFile","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS","Desired Access: Read Attributes, Disposition: Open, Options: Open Reparse Point, Attributes: n/a, ShareMode: Read, Write, Delete, AllocationSize: n/a, OpenResult: Opened"

"7:59:16.2941329 PM","AliIM.exe","30332","QueryBasicInformationFile","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS","CreationTime: 10/22/2013 10:47:30 PM, LastAccessTime: 8/14/2014 2:57:05 PM, LastWriteTime: 8/4/2014 3:36:25 PM, ChangeTime: 8/14/2014 2:57:14 PM, FileAttributes: A"

"7:59:16.2941485 PM","AliIM.exe","30332","CloseFile","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS",""

"7:59:16.2942881 PM","AliIM.exe","30332","CreateFile","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS","Desired Access: Read Data/List Directory, Execute/Traverse, Synchronize, Disposition: Open, Options: Synchronous IO Non-Alert, Non-Directory File, Attributes: n/a, ShareMode: Read, Delete, AllocationSize: n/a, OpenResult: Opened"

"7:59:16.2943492 PM","AliIM.exe","30332","CreateFileMapping","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","FILE LOCKED WITH ONLY READERS","SyncType: SyncTypeCreateSection, PageProtection: "

"7:59:16.2944498 PM","AliIM.exe","30332","CreateFileMapping","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS","SyncType: SyncTypeOther"

"7:59:16.2945615 PM","AliIM.exe","30332","Load Image","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS","Image Base: 0x6cff0000, Image Size: 0x1a000"

"7:59:16.2945812 PM","AliIM.exe","30332","CloseFile","C:\Program Files (x86)\TeamViewer\Version8\tv_w32.dll","SUCCESS",""

"7:59:16.2948406 PM","AliIM.exe","30332","CreateFile","C:\Program Files (x86)\TeamViewer\Version8\VERSION.dll","NAME NOT FOUND","Desired Access: Read Attributes, Disposition: Open, Options: Open Reparse Point, Attributes: n/a, ShareMode: Read, Write, Delete, AllocationSize: n/a"

"7:59:16.2960652 PM","AliIM.exe","30332","CreateFile","C:\Program Files (x86)\TeamViewer\Version8\CRTDLL.dll","NAME NOT FOUND","Desired Access: Read Attributes, Disposition: Open, Options: Open Reparse Point, Attributes: n/a, ShareMode: Read, Write, Delete, AllocationSize: n/a"
windowsprocmon
1
Edward

観察しているのは、 DLLインジェクション と呼ばれる攻撃のセットアップである可能性があります。これは、悪意のあるプログラムが別のプロセス（この場合はteamviewer）内でコードの実行を強制するプロセスです。これにより、実行中のプロセスのメモリフットプリントへの攻撃、または標準的な動作の変更が可能になります。

何をしたいのかを簡単に判断する方法はありませんが、Alibaba以来、Teamviewerが接続を盗聴から保護するために使用する暗号化されたトンネル内の接続情報を表示できるようにしたいと考えています。 teamviewerが暗号化キーをRAMに保存している場合（おそらく）、プログラムはそれらのキーにアクセスできるか、ログインアクションをリアルタイムで監視できる可能性があります。

3
Frank Thomas

その振る舞いについて別の説明があるかもしれません。

通常DLL検索-誤って同じ名前で

このトレースだけを見ると、プロセスがTeamViewerフォルダで3つのdllを探していることがわかります。tv_w32.dll、VERSION.dll（MSヘルパーDLL Windows）およびCRTDLL.dll（MS Cランタイム）。

検索順序 に続いて通常のDLL検索を実行している可能性があります。そして、TeamViewerパスが検索順序にある​​ようです。他になぜAliIM.exeが検索する必要があるのですか？そのフォルダ内の2つのMSdll？

これが当てはまる場合、プロセスはtv_w32.dllを探しているだけであり、誤ってTeamViewerにその名前のdllがあります。 （アジアのページでは、TeamViewerの一部ではないtv_w32.dllについての議論があるようです）。

あらゆる種類の誤用/攻撃
AliIM.exeはマルウェアであることがわかっているため、攻撃の可能性があります。この場合、AliIM.exeはTeamViewerの一部の機能のみを必要とする可能性があります。 dllをロードし、独自の目的で内部TeamViewer関数を使用します。

Dependency Walker や Rohtap API Monitor のようなツールは、それを追跡するのに役立ちます。

0
marsh-wiggle