Reflective DLL Injection: глубокий разбор техники, примеры и способы защиты

Разбираем самую «невидимую» технику среди всех известных инъекций.

Пожалуй, самый непредсказуемый трюк, на который способен современный малварь, — появиться в памяти процесса без единого файла на диске и без участия стандартного загрузчика Windows. Именно так ведёт себя Reflective DLL Injection. С момента появления в 2008 году приём стал неотъемлемой частью арсенала красных команд: библиотека «оживает» прямо в ОЗУ, а антивирусы и EDR нередко узнают об этом слишком поздно. В статье разберём историю, архитектуру, популярные инструменты и, главное, практические методы защиты.

Концептуальные основы рефлективной инъекции

Чтобы оценить изящество Reflective DLL Injection, нужно вспомнить, как Windows обычно работает с динамическими библиотеками. В штатном сценарии приложению достаточно вызвать LoadLibrary, после чего ОС ищет DLL на диске, мапит её в адресное пространство процесса, фиксирует таблицу импортов, делает релокации и вызывает DllMain. Процедура прозрачна, но оставляет длинный цифровой «след» — файл на диске, записи в системных журналах, предсказуемые вызовы API.

Рефлективная инъекция стирает эти отпечатки. В библиотеку вшивается функции-загрузчик ReflectiveLoader, который берёт на себя обязанности операционной системы. Вместо того чтобы читать DLL с диска, он получает байтовый массив прямо в память, создает собственную копию PE-образа, самостоятельно релокирует его, резолвит импорты и вызывает точку входа. На диске — пусто, в журналах — тишина, а вредонос уже внутри.

Техническая архитектура процесса

Сердце техники — именно ReflectiveLoader. Его логика напоминает «мини-Windows» внутри DLL:

Выделение памяти. С помощью VirtualAllocEx (или аналога) подготавливается область EXECUTE_READWRITE для нового образа.
Копирование секций. ReflectiveLoader переносит заголовки и разделы PE-файла в выделенную область с сохранением выравнивания.
Обработка импортов. Таблица импортов патчится вручную: функция находит адреса нужных API в уже загруженных системных DLL (kernel32.dll, ntdll.dll и т. д.) и прописывает их в IAT.
Релокация адресов. Если образ разместился не по предпочтительному адресу, все относительные смещения пересчитываются.
Передача управления. Загрузчик вызывает DllMain(..., DLL_PROCESS_ATTACH, ...), передавая бразды правления полезной нагрузке.

Особенность в том, что всё происходит внутри одного процесса и одной страницы памяти: операционной системе остаётся лишь покорно наблюдать, как библиотека «рождает» саму себя.

История и автор методики

Публично техника была представлена исследователем Stephen Fewer из Harmony Security осенью 2008 года на конференции Black Hat Europe. Его работа «Reflective DLL Injection» быстро стала классикой: Фьюэр не только описал концепцию, но и выложил пример кода, с которого позже выросли модули Metasploit и Cobalt Strike. Если вам нужен первоисточник, настоятельно советуем прочитать оригинальное исследование — половина современных реализаций до сих пор опирается на те же идеи.

Эволюция техники и её современные вариации

С 2008 года Reflective DLL Injection шагнула далеко вперёд. Основные векторы развития:

Обфускация и полиморфизм. Современные реализации шифруют секции или перезаполняют заголовки PE, чтобы сигнатурный сканер не нашёл знакомых байтовых паттернов.
Минимизация шеллкода. Проекты вроде sRDI превращают DLL в крошечный шеллкод размером в несколько килобайт, который разворачивается уже внутри процесса-жертвы.
Комбинация с process hollowing. Нападение идёт в два этапа: сначала создаётся легитимный процесс в «спячке», затем его секция .text вычищается и заменяется рефлективным загрузчиком.
Переезд в ядро. Уязвимые драйверы позволяют загружать PE-образ прямо в ring 0, куда большинству EDR добраться сложнее.

Интеграция с современными фреймворками

Сегодня Reflective DLL Injection встроена в большинство популярных инструментов:

Metasploit Framework — модуль reflective_dll_inject позволяет загружать любую библиотеку в удалённый процесс в пару команд.
Cobalt Strike — «Beacon Object File» (BOF) использует рефлективный подход для тихой постэксплуатации.
sRDI — конвертирует DLL в позиционно-независимый шеллкод, который сам себя разворачивает.
Открытая реализация от Стивена Фьюэра — канонический пример, с которого начинают обучение многие исследователи.

Доступность таких фреймворков — палка о двух концах. С одной стороны, злоумышленникам не нужно изобретать велосипед, с другой — защитники могут воспроизвести атаку в лаборатории и заранее настроить детекторы.

Методы обнаружения на стороне синих команд

Полностью невидимых техник не бывает. Вот сигналы, на которые стоит обращать внимание:

RWX-страницы памяти. Нормальное приложение редко выделяет память с одновременными флагами READ, WRITE и EXECUTE. Появление больших RWX-областей повод насторожиться.
Модуль без пути на диск. В списке модулей процесса (через VirtualQueryEx или Process Hacker) виден образ DLL, но поле «Path» пустое.
Поток, стартующий в середине непонятного блока памяти. Если начальный адрес нити не укладывается в диапазон штатных модулей, это тревожный звоночек.
Неинициализированные структуры PEB / LDR. Библиотека, загруженная рефлективно, не регистрируется в цепочках InLoadOrderModuleList и InMemoryOrderModuleList.

Современные EDR (Defender for Endpoint, CrowdStrike, Huntress) отслеживают подобные аномалии поведенческими правилами, но ручная проверка всё ещё полезна — особенно в инцидент-респонсе, когда важна скорость.

Практическая защита: чек-лист для администраторов

Ниже — набор рекомендаций, который поможет удержать инфрас-труктуру с тёмной стороны силы:

Мониторинг API. Ловите цепочку VirtualAlloc → WriteProcessMemory → CreateRemoteThread. Если буфер превысил, скажем, 1 МБ и сразу исполняется — высокий риск атаки.
Hypervisor-based Code Integrity (HVCI). Даже на рабочих станциях HVCI мешает шеллкоду менять защиту страниц на лету.
Изоляция процессов. Запускайте браузеры, офисные приложения и почтовые клиенты в разных контейнерах; так вредонос не попадёт сразу к доменным сервисам.
Контроль загрузки драйверов. Подписи и репутация драйверов — критичный слой, особенно против «прыжков» в ring 0.
Красно-синие учения. Организуйте регулярные симуляции с использованием Metasploit / Sliver: чем ближе тренировка к боевым реалиям, тем быстрее реакция SOC.

Код-пример: минимальный ReflectiveLoader (обучающий)

DWORD WINAPI ReflectiveLoader(LPVOID lpParameter)
{
    BYTE *base = (BYTE *)lpParameter;
    PIMAGE_DOS_HEADER dos = (PIMAGE_DOS_HEADER)base;
    PIMAGE_NT_HEADERS nt = (PIMAGE_NT_HEADERS)(base + dos->e_lfanew);

    LPVOID mem = VirtualAlloc(NULL,
                              nt->OptionalHeader.SizeOfImage,
                              MEM_COMMIT | MEM_RESERVE,
                              PAGE_EXECUTE_READWRITE);

    if (!mem) return 0;

    // Копируем заголовки
    memcpy(mem, base, nt->OptionalHeader.SizeOfHeaders);

    // Копируем секции
    PIMAGE_SECTION_HEADER sec = IMAGE_FIRST_SECTION(nt);
    for (int i = 0; i < nt->FileHeader.NumberOfSections; ++i, ++sec)
        memcpy((BYTE *)mem + sec->VirtualAddress,
               base + sec->PointerToRawData,
               sec->SizeOfRawData);

    // Импорты и релокации (опущены для краткости)

    // Вызываем DllMain
    DLLMAIN entry = (DLLMAIN)((BYTE *)mem +
                               nt->OptionalHeader.AddressOfEntryPoint);
    return entry((HINSTANCE)mem, DLL_PROCESS_ATTACH, NULL);
}

Даже такой упрощённый загрузчик обходил «классические» антивирусы эпохи до EDR. Теперь он полезен скорее как учебное пособие, но принципы остались неизменными.

Будущие векторы: что нас ждёт в 2025–2026 годах

Эксперты прогнозируют несколько трендов:

Автоматизированная генерация шеллкода. ML-модели уже помогают злоумышленникам подбирать параметры обфускации, делая каждую сборку уникальной.
Рефлективная загрузка гаджетов UEFI. Появляются PoC, которые внедряют библиотеку прямо во время загрузки системы, задолго до запуска ядра Windows.
Сдвиг к XDR-подходу. Защитники отвечают корреляцией телеметрии — память + сеть + облачные логи, чтобы ловить цепочку, а не отдельные артефакты.

Заключение: вредонос в отражении

Reflective DLL Injection — удачный пример того, как изящная идея превращается в де-факто стандарт атаки. Но и защита не стоит на месте: грамотный мониторинг памяти, изоляция процессов и постоянные упражнения SOC делают технику заметной ещё до того, как вредонос выполнит первый зловредный вызов. Берите этот материал как основу: моделируйте угрозы, обучайте команду, совершенствуйте систему логов. Пусть отражения останутся лишь незаметными бликами — и никогда не превращаются в реальный инцидент.

Что делать, когда сеть растет быстрее, чем ее защита?