DLL-Hijacking.

Angriff, der die DLL-Suchreihenfolge von Windows missbraucht, damit ein legitimes Programm eine vom Angreifer kontrollierte Bibliothek anstelle der vorgesehenen lädt. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Angriff, der die DLL-Suchreihenfolge von Windows missbraucht, damit ein legitimes Programm eine vom Angreifer kontrollierte Bibliothek anstelle der vorgesehenen lädt.

DLL-Hijacking (MITRE ATT&CK T1574.001) nutzt aus, wie Windows DLLs auflöst: Fordert eine Anwendung eine DLL ohne vollständigen Pfad an, durchsucht der Loader eine vorhersehbare Liste von Verzeichnissen. Ein Angreifer, der eine bösartige DLL in einen höher priorisierten Pfad (Anwendungsverzeichnis, beschreibbarer PATH-Eintrag, Side-by-Side-Ordner) schreiben kann, lässt seinen Code im Kontext eines vertrauenswürdigen, häufig signierten Prozesses ausführen. Die Technik liefert Codeausführung und Persistenz und umgeht viele Application-Allowlisting-Lösungen. Gegenmaßnahmen sind vollqualifizierte Pfade, SafeDllSearchMode, WDAC/AppLocker-Regeln, Sysmon-Event-7-Überwachung und das Patchen verwundbarer Installer.

Schutzmaßnahmen gegen DLL-Hijacking kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: DLL-Suchreihenfolge-Hijacking, DLL-Preloading.