Ao analisar, por meio de engenharia reversa, um código malicioso em ambiente Windows, um perito verificou que o malware fazia uso das chamadas SetWindowsHookEx e CreateRemoteThread. Isso indica que o malware estava provavelmente fazendo API hooking. A conclusão do perito é que o malvware estava tentando realizar
- A)injeção DLL.
Correta, porque SetWindowsHookEx e CreateRemoteThread são indicadores típicos de injeção de DLL em outro processo para realizar hooking.
- B)ataque cross site scripting.
Errada, pois XSS é uma vulnerabilidade de aplicações web e não tem relação com APIs do Windows ou injeção em processos.
- C)sniffing de rede.
Errada, porque sniffing de rede envolve captura de tráfego, não uso de hooks e thread remota em ambiente Windows.
- D)injeção SQL.
Errada, pois SQL injection explora consultas a banco de dados em aplicações web, não mecanismos de API hooking no sistema operacional.
- E)ataque cross site request forgery.
Errada, porque CSRF é um ataque web que força requisições em nome do usuário, sem ligação com injeção de código em processos.
Gabarito: A
Quando um malware usa SetWindowsHookEx e CreateRemoteThread em Windows, o alerta acende para uma técnica clássica de API hooking. Em termos simples, o programa tenta "fisgar" chamadas de funções do sistema para observar, alterar ou redirecionar o comportamento normal de outro processo. É aquele truque de bastidor: o código malicioso entra onde não foi chamado e passa a mandar no que a vítima vê ou executa. A presença de CreateRemoteThread é especialmente importante porque essa chamada permite criar uma thread dentro de outro processo. Isso é muito associado a injeção de código em processo remoto, frequentemente com o carregamento de uma DLL maliciosa. Já SetWindowsHookEx é uma API tradicional para instalar ganchos no fluxo de mensagens do Windows, e pode ser usada de forma legítima ou abusiva para interceptar eventos e inserir código em aplicações-alvo. Por isso, a conclusão do perito aponta para injeção DLL: o malware tenta colocar uma DLL dentro de outro processo para executar seu código lá dentro, muitas vezes combinando isso com hooking para interceptar funções ou eventos. Em prova, sempre que aparecer essa dupla de APIs em ambiente Windows, pense em manipulação de processo e carregamento remoto de código, não em ataques de web ou rede. Resumo de bolso: API hooking é a técnica; injeção DLL costuma ser o meio prático para implementar esse tipo de invasão de processo. É a velha história do "se não dá para entrar pela porta, o malware tenta entrar pela janela e ainda troca a fechadura."