DLL означает библиотеки динамической^{(Dynamic Link Libraries)} компоновки и являются внешними частями приложений, работающих в Windows или любой другой операционной системе. Большинство приложений не завершены сами по себе и хранят код в разных файлах. Если есть потребность в коде, соответствующий файл загружается в память и используется. Это уменьшает размер файла приложения при оптимизации использования оперативной памяти^(RAM) . В этой статье объясняется, что такое перехват DLL^{(DLL Hijacking)} и как его обнаружить и предотвратить.

Что такое файлы^(Files) DLL или библиотеки динамической компоновки^{(Dynamic Link Libraries)}

^(DLL)Файлы DLL представляют собой динамически подключаемые библиотеки^{(Dynamic Link Libraries)} и, как видно из названия, являются расширениями различных приложений. Любое используемое нами приложение может использовать или не использовать определенные коды. Такие коды хранятся в разных файлах и вызываются или загружаются в оперативную память^(RAM) только тогда, когда требуется соответствующий код. Таким образом, это предотвращает слишком большой размер файла приложения и предотвращает перегрузку ресурсов приложением.

Путь к файлам DLL задается операционной системой Windows . Путь задается с помощью Global Environment Variables^{(Global Environmental Variables)} . По умолчанию, если приложение запрашивает файл DLL , операционная система просматривает ту же папку, в которой хранится приложение. Если он там не найден, он переходит в другие папки, заданные глобальными переменными. К путям привязаны приоритеты, и это помогает Windows определить, в каких папках искать библиотеки DLL^(DLLs) . Вот где происходит перехват DLL^(DLL) .

Что такое угон DLL

Поскольку библиотеки DLL^(DLLs) являются расширениями и необходимы для использования почти всех приложений на ваших компьютерах, они находятся на компьютере в разных папках, как объяснялось. Если исходный файл DLL заменяется поддельным файлом DLL , содержащим вредоносный код, это называется захватом DLL^{(DLL Hijacking)} .

Как упоминалось ранее, существуют приоритеты в отношении того, где операционная система ищет DLL - файлы. Сначала^(First) он просматривает ту же папку, что и папка приложения, а затем переходит к поиску, основываясь на приоритетах, установленных переменными среды операционной системы. Таким образом, если файл good.dll находится в папке SysWOW64, а кто-то поместил файл bad.dll в папку с более высоким приоритетом по сравнению с папкой SysWOW64 , операционная система будет использовать файл bad.dll, так как он имеет то же имя, что и DLL . запрашивается приложением. Попав в оперативную память^(RAM) , он может выполнить вредоносный код, содержащийся в файле, и поставить под угрозу ваш компьютер или сети.

Как обнаружить перехват DLL

Самый простой способ обнаружить и предотвратить захват DLL — использовать сторонние инструменты. На рынке доступно несколько хороших бесплатных инструментов, которые помогают обнаружить попытку взлома DLL и предотвратить ее.

Одной из таких программ является DLL Hijack Auditor , но она поддерживает только 32-битные приложения. Вы можете установить его на свой компьютер и сканировать все ваши приложения Windows, чтобы увидеть, какие приложения уязвимы для захвата DLL . Интерфейс прост и понятен. Единственным недостатком этого приложения является то, что вы не можете сканировать 64-битные приложения.

Другая программа для обнаружения перехвата DLL ,  DLL_HIJACK_DETECT, доступна на GitHub . Эта программа проверяет приложения на предмет уязвимости к перехвату DLL^(DLL) . Если это так, программа информирует пользователя. Приложение имеет две версии — x86 и x64 , так что вы можете использовать каждую из них для сканирования как 32-битных, так и 64-битных приложений соответственно.

Следует отметить, что вышеуказанные программы просто сканируют приложения на платформе Windows на наличие ^(Windows)уязвимостей и фактически не предотвращают захват DLL - файлов.

Как предотвратить захват DLL

Проблема должна быть решена программистами в первую очередь, поскольку вы мало что можете сделать, кроме как усилить свои системы безопасности. Если вместо относительного пути программисты начнут использовать абсолютный путь, уязвимость уменьшится. При чтении абсолютного пути Windows или любая другая операционная система не будут зависеть от системных переменных для пути и перейдут прямо к предполагаемой DLL , тем самым исключая возможность загрузки DLL с тем же именем по пути с более высоким приоритетом. Этот метод также не является безотказным, поскольку, если система скомпрометирована, а киберпреступники знают точный путь к DLL , они заменят оригинальную DLL поддельной DLL .. Это будет перезаписывать файл, так что исходная DLL превращается в вредоносный код. Но опять же, киберпреступнику необходимо знать точный абсолютный путь, указанный в приложении, которое вызывает DLL . Этот процесс сложен для киберпреступников и, следовательно, на него можно положиться.

Возвращаясь к тому, что вы можете сделать, просто попробуйте масштабировать свои системы безопасности, чтобы лучше защитить вашу систему Windows^{(secure your Windows system)} . Используйте хороший брандмауэр^(firewall) . Если возможно, используйте аппаратный брандмауэр или включите брандмауэр маршрутизатора. Используйте хорошие системы обнаружения вторжений, чтобы знать, пытается ли кто-нибудь поиграть с вашим компьютером.

Если вы занимаетесь устранением неполадок компьютеров, вы также можете выполнить следующие действия для повышения безопасности:

1. Отключить загрузку DLL из удаленных сетевых ресурсов
2. Отключить загрузку файлов DLL из ^(DLL)WebDAV
3. Полностью отключите службу WebClient или установите ее вручную
4. Заблокируйте ^(Block)TCP - порты 445 и 139, так как они чаще всего используются для взлома компьютеров.
5. Установите последние обновления операционной системы и программного обеспечения безопасности.

Microsoft выпустила инструмент для блокировки атак перехвата загрузки DLL . Этот инструмент снижает риск атак с перехватом DLL , предотвращая небезопасную загрузку приложениями кода из файлов DLL .

Если вы хотите что-то добавить к статье, пожалуйста, прокомментируйте ниже.^{(If you would like to add anything to the article, please comment below.)}

DLL Hijacking Vulnerability Attacks, Prevention & Detection

DLL stands for Dynamic Link Libraries and are externаl parts of applications that run on Windows or any other operating system. Most applіcations are not complete in themselves and store code in different files. If there is a need for the code, the related file is loaded into memory and used. This reduces application file size while optimizing the usage of RAM. Τhis article explains what is DLL Hijacking and how to detect and prevent it.

What are DLL Files or Dynamic Link Libraries

DLL files are Dynamic Link Libraries and as evident by the name, are extensions of different applications. Any application we use may or may not use certain codes. Such codes are stored in different files and are invoked or loaded into RAM only when the related code is required. Thus, it saves an application file from becoming too big and to prevent resource hogging by the application.

The path for DLL files are set by the Windows operating system. The path is set using Global Environmental Variables. By default, if an application requests a DLL file, the operating system looks into the same folder in which the application is stored. If it is not found there, it goes to other folders as set by the global variables. There are priorities attached to paths and it helps Windows in determining what folders to look for the DLLs. This is where the DLL hijacking comes in.

What is DLL Hijacking

Since DLLs are extensions and necessary to using almost all applications on your machines, they are present on the computer in different folders as explained. If the original DLL file is replaced with a fake DLL file containing malicious code, it is known as DLL Hijacking.

As mentioned earlier, there are priorities as to where the operating system looks for DLL files. First, it looks into the same folder as the application folder and then goes searching, based on the priorities set by the environment variables of the operating system. Thus if a good.dll file is in SysWOW64 folder and someone places a bad.dll in a folder that has higher priority compared to SysWOW64 folder, the operating system will use the bad.dll file, as it has the same name as the DLL requested by the application. Once in RAM, it can execute the malicious code contained in the file and may compromise your computer or networks.

How to detect DLL Hijacking

The easiest method to detect and prevent DLL hijacking is to use third-party tools. There are some good free tools available in the market that helps in detecting a DLL hack attempt and prevent it.

One such program is DLL Hijack Auditor but it supports only 32-bit applications. You can install it on your computer and scan all your Windows applications to see what all applications are vulnerable to DLL hijack. The interface is simple and self-explanatory. The only drawback of this application is that you cannot scan 64-bit applications.

Another program, to detect DLL hijacking, DLL_HIJACK_DETECT, is available via GitHub. This program checks applications to see if any of them are vulnerable to DLL hijacking. If it is, the program informs the user. The application has two versions – x86 and x64 so that you can use each to scan both 32-bit and 64-bit applications respectively.

It should be noted that the above programs just scan the applications on the Windows platform for vulnerabilities and do not actually prevent the hijacking of DLL files.

How to prevent DLL Hijacking

The issue should be tackled by the programmers in the first place as there is not much you can do except to beef up your security systems. If instead of a relative path, programmers start using an absolute path, the vulnerability will be reduced. Reading the absolute path, the Windows or any other operating system will not depend on system variables for path and will go straight for the intended DLL, thereby dismissing the chances of loading the same name DLL in a higher priority path. This method too, is not fail-proof because if the system is compromised, and the cybercriminals know the exact path of DLL, they will replace the original DLL with the fake DLL. That would be overwriting the file so that the original DLL is changed into malicious code. But again, the cybercriminal will need to know the exact absolute path mentioned in the application that calls for the DLL. The process is tough for cybercriminals and hence can be counted upon.

Coming back to what you can do, just try to scale up your security systems to better secure your Windows system. Use a good firewall. If possible, use a hardware firewall or turn on the router firewall. Use good intrusion detection systems so that you know if anyone is trying to play with your computer.

If you are into troubleshooting computers, you may also perform the following to up your security:

1. Disable DLL loading from remote network shares
2. Disable loading of DLL files from WebDAV
3. Disable WebClient service completely or set it to manual
4. Block the TCP ports 445 and 139 as they are used most for compromising computers
5. Install the latest updates to the operating system and security software.

Microsoft has released a tool to block DLL load hijacking attacks. This tool mitigates the risk of DLL hijacking attacks by preventing applications from insecurely loading code from DLL files.

If you would like to add anything to the article, please comment below.

Related posts

• Что такое удаленный Access Trojan? Профилактика, Detection & Removal

• Fileless Malware Attacks, Protection and Detection

• Как избежать Phishing Scams and Attacks?

• Cyber Attacks - Определение, Types, профилактика

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Что такое CandyOpen? Как удалить CandyOpen от Windows 10?

• Бесплатный Malware Removal Tools для удаления Specific Virus в Windows 11/10

• Проверьте, был ли ваш компьютер заражен ASUS Update Malware

• Как удалить вирус из Windows 10; Malware Removal Guide

• Удаленный Administration Tools: Риски, Threats, Prevention

• Bundleware: Определение, Prevention, Removal Guide

• Как проверить, является ли файл злонамеренным или не на Windows 11/10

• DDoS Distributed Denial Service Attacks: защита, Prevention

• Что такое Backdoor attack? Meaning, Examples, Definitions

• Как удалить Virus Alert от Microsoft на Windows PC

• Как удалить Chromium Virus из Windows 11/10

• Cryptojacking новый browser mining threat Вам нужно знать о

• Prevent Drive-by Загрузки и связанные атаки вредоносных программ

• Советы по защите вашего компьютера против Thunderspy attack

• Что такое IDP.Generic and How для безопасного удаления его из Windows?