Programas antivírus contemporâneos devem estar preparados para detectar e intervir contra tipos de ameaças
cada vez mais sofisticadas. Nesse contexto, a técnica de
ciberataque conhecida como Process Hollowing consiste

Question

Programas antivírus contemporâneos devem estar preparados para detectar e intervir contra tipos de ameaças
cada vez mais sofisticadas. Nesse contexto, a técnica de
ciberataque conhecida como Process Hollowing consiste Alternativa A: no carregamento de uma DLL em memória sem
usar a API padrão do sistema operacional Windows
(LoadLibrary). Ou Alternativa B: na tradução de código de máquina, em tempo real,
de uma arquitetura para outra (ex. x64 para Arm64),
para que o malware possa atacar plataformas
distintas. Ou Alternativa C: na adoção do ícone de um aplicativo legítimo em um
executável de malware, enganando o usuário, fazendo-o pensar que se trata de um aplicativo inofensivo
e legítimo. Ou Alternativa D: na exclusão deliberada de arquivos DLL ou outras
dependências requeridas por programas antivírus,
impedindo que os mesmos funcionem. Ou Alternativa E: na criação de um processo legítimo suspenso, cujo
código original em memória é desalocado e substituído por código malicioso.

Qconcursos · Accepted Answer

Alternativa [E] na criação de um processo legítimo suspenso, cujo
código original em memória é desalocado e substituído por código malicioso. Gabarito: EFundamento decisivo: Como o enunciado pede o mecanismo de Process Hollowing, o critério decisivo é a substituição da imagem original do processo em memória. Esse elemento identifica a alternativa E e distingue a técnica de um simples carregamento de código.Tema central: Mecanismo de Process HollowingAnálise das alternativasAErradaDescreve o carregamento de uma DLL sem utilizar o carregador padrão, mecanismo compatível com carregamento manual ou reflexivo. Isso não equivale a remover a imagem original de um processo suspenso e substituí-la por código malicioso. Além disso, a ausência de LoadLibrary, isoladamente, não permite identificar exclusivamente carregamento reflexivo.BErradaO procedimento descrito traduz instruções de uma arquitetura para outra. Seu objeto é a adaptação do código entre arquiteturas, enquanto Process Hollowing envolve substituir a imagem em memória de um processo criado suspenso. A tradução proposta não apresenta esse mecanismo.CErradaA adoção de um ícone legítimo altera a aparência do executável para enganar o usuário. Trata-se de disfarce visual, não de substituição do conteúdo de um processo em memória. A aparência legítima do arquivo, por si só, não caracteriza Process Hollowing.DErradaA alternativa descreve a exclusão de arquivos necessários ao funcionamento do antivírus. Em Process Hollowing, o esvaziamento ocorre sobre a imagem original de um processo em memória, seguida da inserção de código malicioso; não corresponde à exclusão de DLLs ou de outras dependências no disco.ECertaA alternativa E descreve a sequência clássica de Process Hollowing, conforme o MITRE ATT&CK T1055.012. Primeiro, cria-se um processo legítimo em estado suspenso; depois, sua imagem original é desmapeada da memória, dando lugar ao código malicioso. O ponto central é a substituição do conteúdo executável do processo, e não apenas a presença de código malicioso na memória. Após essa alteração, a execução é redirecionada ao código inserido e retomada; essa etapa completa o mecanismo, mas sua ausência no texto da alternativa não impede a identificação da técnica.Pegadinha da questãoA confusão está em tratar qualquer carregamento de código em memória como Process Hollowing ou interpretar o “esvaziamento” como apagamento de arquivos. A técnica exige uma operação específica sobre o conteúdo do processo em memória.Dica para questões semelhantesEm novas descrições da técnica, procure também o redirecionamento da execução e sua retomada após a substituição: são elementos que completam o mecanismo, embora não precisem aparecer para identificá-lo.Não deduza da identificação de Process Hollowing que o executável legítimo foi alterado no disco, que houve elevação de privilégios ou que a evasão do antivírus está garantida.

Programas antivírus contemporâneos devem estar preparados pa...

Gabarito comentado

Gabarito: E

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas