How to Detect Threads & Bypass Anti-Cheat Detection

Summary

Cette vidéo explore le fonctionnement des threads malveillants et propose des solutions pour les détecter et les éviter. Elle explique comment les threads sont créés, en particulier avec des fonctions comme 'CreateThread' et 'LoadLibrary', et met en évidence les techniques de détection, notamment en utilisant des adresses mémoire. La vidéo recommande des méthodes alternatives pour éviter la détection, comme le détournement de threads existants et l'exécution de code via des techniques telles que 'Kernel Callback' et 'QUserAPC'. Enfin, elle encourage l'utilisation d'injecteurs spécifiques pour améliorer la furtivité lors de l'injection de code.

Takeaways

• 🔍 Comprendre comment fonctionnent les threads est essentiel pour détecter les menaces malveillantes.
• 🧵 Lorsqu'un nouveau thread est créé, une fonction appelée base thread in thunk est exécutée.
• 🔧 Pour détecter les threads suspects, on peut vérifier si l'adresse de départ d'un thread est valide.
• ⚠️ Les adresses non valides peuvent être utilisées pour identifier des injections malveillantes.
• 📊 L'utilisation de fonctions comme memory basic information et virtual query permet d'analyser les threads.
• 🚫 Éviter d'utiliser create remote thread pour réduire les risques de détection lors de l'injection de DLL.
• 🛠️ Les techniques de contournement incluent le détournement de threads existants ou l'utilisation de kernel callbacks.
• ⚙️ Les injections peuvent être détectées en raison de l'allocation de mémoire et de la création de threads.
• 💻 Des méthodes comme Q user APC et fake EH peuvent aider à éviter les vecteurs de détection.
• 🌐 Des ressources comme le site guided hacking.com peuvent fournir des outils pour le hacking éthique.

Q & A

Qu'est-ce que la fonction BaseThreadInitThunk et quel est son rôle dans la création de nouveaux threads?

La fonction BaseThreadInitThunk est appelée lors de la création d'un nouveau thread. Elle est essentielle pour initialiser le thread et peut être surveillée pour détecter des comportements anormaux.

Comment peut-on détecter des threads malveillants selon le script?

On peut détecter des threads malveillants en utilisant la fonction VirtualQuery pour analyser les adresses mémoire associées à la création de threads. Si une adresse est considérée comme invalide ou suspecte, cela peut indiquer une activité malveillante.

Quels types d'adresses peuvent être considérés comme légitimes?

Les adresses qui se trouvent dans des plages mémoire connues et allouées de manière appropriée sont considérées comme légitimes. Par exemple, une adresse qui correspond à un module valide dans le processus.

Pourquoi est-il préférable d'éviter la création de nouveaux threads lors de l'injection de DLL?

Éviter la création de nouveaux threads est préférable car cela peut déclencher des alertes de sécurité. Les techniques telles que l'hijacking de threads existants permettent de réduire ce risque.

Quelles techniques alternatives peuvent être utilisées pour éviter la détection lors de l'injection?

Des techniques alternatives incluent l'hijacking de threads, l'utilisation de rappels du noyau (kernel callbacks) et l'appel de procédures asynchrones (APC) pour exécuter du code shell sans créer de nouveaux threads.

Quel rôle joue Cheat Engine dans la détection de threads malveillants?

Cheat Engine est utilisé pour inspecter les adresses mémoire. En entrant des adresses spécifiques, on peut déterminer si elles correspondent à des sections mémoire légitimes ou non.

Comment fonctionne le processus d'injection avec une bibliothèque (DLL)?

Le processus d'injection avec une DLL implique l'allocation de mémoire dans le processus cible, l'écriture d'un chemin vers la DLL dans cette mémoire, puis la création d'un thread qui appelle LoadLibrary pour charger la DLL.

Quelles sont les conséquences de l'utilisation de CreateRemoteThread?

L'utilisation de CreateRemoteThread peut lever des drapeaux de sécurité dans le système, car elle est souvent associée à des comportements malveillants tels que l'injection de code.

Pourquoi le script souligne-t-il l'importance de connaître les valeurs d'adresse?

Connaître les valeurs d'adresse est crucial pour identifier si un thread ou une DLL est malveillant. Cela permet d'établir des seuils et des critères pour déterminer la légitimité d'un code en cours d'exécution.

Quel est l'objectif final des techniques discutées dans le script?

L'objectif final est de créer des applications plus sécurisées en évitant les techniques d'injection détectables et en prévenant les exploits potentiels dans le code.