Injection IFEO
Qu'est-ce que Injection IFEO ?
Injection IFEOTechnique de persistance et d'élévation de privilèges qui abuse de la clé Image File Execution Options de Windows pour exécuter du code attaquant à chaque lancement d'un exécutable cible.
L'injection IFEO (MITRE ATT&CK T1546.012) détourne HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options. Conçue à l'origine pour le débogage, cette clé permet d'attacher une valeur Debugger à un nom d'exécutable : quand Windows lance ce programme, il lance en réalité le débogueur avec le binaire d'origine en argument. Les attaquants enregistrent leur charge utile comme débogueur d'exécutables courants (sethc.exe, utilman.exe, taskmgr.exe) pour persister, ou utilisent la sous-clé GlobalFlag/SilentProcessExit pour exécuter du code à la fermeture d'un processus cible. La technique exige des droits admin mais reste très efficace et souvent ignorée. Défenses : surveiller les écritures IFEO avec Sysmon event 13, AppLocker, alertes sur Debugger pointant vers des binaires non signés.
● Exemples
- 01
Définir un Debugger sur sethc.exe pour qu'un appui cinq fois sur Maj à l'écran de verrouillage ouvre un shell SYSTEM.
- 02
Configurer SilentProcessExit sur lsass.exe pour faire un dump de credentials à sa fermeture.
● Questions fréquentes
Qu'est-ce que Injection IFEO ?
Technique de persistance et d'élévation de privilèges qui abuse de la clé Image File Execution Options de Windows pour exécuter du code attaquant à chaque lancement d'un exécutable cible. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.
Que signifie Injection IFEO ?
Technique de persistance et d'élévation de privilèges qui abuse de la clé Image File Execution Options de Windows pour exécuter du code attaquant à chaque lancement d'un exécutable cible.
Comment fonctionne Injection IFEO ?
L'injection IFEO (MITRE ATT&CK T1546.012) détourne HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options. Conçue à l'origine pour le débogage, cette clé permet d'attacher une valeur Debugger à un nom d'exécutable : quand Windows lance ce programme, il lance en réalité le débogueur avec le binaire d'origine en argument. Les attaquants enregistrent leur charge utile comme débogueur d'exécutables courants (sethc.exe, utilman.exe, taskmgr.exe) pour persister, ou utilisent la sous-clé GlobalFlag/SilentProcessExit pour exécuter du code à la fermeture d'un processus cible. La technique exige des droits admin mais reste très efficace et souvent ignorée. Défenses : surveiller les écritures IFEO avec Sysmon event 13, AppLocker, alertes sur Debugger pointant vers des binaires non signés.
Comment se défendre contre Injection IFEO ?
Les défenses contre Injection IFEO combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Injection IFEO ?
Noms alternatifs courants : Abus de Image File Execution Options, Hijacking de débogueur, Persistance SilentProcessExit.
● Termes liés
- attacks№ 331
Détournement de DLL
Attaque qui abuse de l'ordre de recherche des DLL de Windows pour qu'un programme légitime charge une bibliothèque contrôlée par l'attaquant au lieu de la bibliothèque attendue.
- attacks№ 200
Détournement COM
Technique de persistance qui redirige la résolution d'un CLSID Windows Component Object Model vers du code attaquant, exécuté à chaque instanciation de l'objet.
- attacks№ 914
Persistance par clé Run du registre
Technique classique de persistance Windows qui ajoute une entrée sous une clé Run ou RunOnce afin d'exécuter un binaire ou un script à chaque ouverture de session.
- attacks№ 1246
Persistance par souscription d'événement WMI
Technique de persistance qui enregistre un filtre et un consommateur d'événements WMI permanents pour exécuter du code attaquant lors d'un événement système choisi.
- attacks№ 975
Persistance par tâche planifiée
Technique de persistance et d'exécution où l'attaquant crée ou modifie une tâche planifiée Windows pour lancer son code lors d'un déclencheur (logon, démarrage, minuterie).
- attacks№ 054
AppInit_DLLs
Technique de persistance Windows historique qui abuse d'une valeur du registre pour faire charger une DLL spécifiée dans tout processus utilisateur liant user32.dll.