DLL インジェクション.

DLL インジェクションは、実行中のプロセスに悪意のある DLL を自身のアドレス空間にマップさせ、その DllMain やエクスポート関数をホストプロセスの権限と信頼属性で実行させます。古典的な手法では、OpenProcess、VirtualAllocEx、WriteProcessMemory で DLL のパスを書き込み、LoadLibraryA を呼び出す CreateRemoteThread を発行します。亜種にはリフレクティブ DLL ロード(ディスク上に DLL を残さない)、SetWindowsHookEx、AppInit_DLLs レジストリの悪用などがあります。MITRE ATT&CK では Process Injection 配下の T1055.001 に分類されます。対策には、プロセス越しの API トレーシングが可能な EDR、カーネルコールバック(PsSetCreateProcessNotifyRoutineEx)、Protected Process、コード署名、重要プロセスへのリモートスレッド生成のブロック、Sysmon Event 8 の監視などが挙げられます。