DLL staat voor Dynamic Link Libraries en zijn externe onderdelen van applicaties die op Windows of een ander besturingssysteem draaien. De meeste applicaties zijn op zichzelf niet compleet en slaan code op in verschillende bestanden. Als de code nodig is, wordt het bijbehorende bestand in het geheugen geladen en gebruikt. Dit verkleint de bestandsgrootte van de applicatie terwijl het gebruik van RAM wordt geoptimaliseerd . In dit artikel wordt uitgelegd wat DLL-kaping^{(DLL Hijacking)} is en hoe u dit kunt detecteren en voorkomen.

Wat zijn DLL- bestanden^(Files) of Dynamic Link-bibliotheken ?^{(Dynamic Link Libraries)}

DLL- bestanden zijn Dynamic Link Libraries en, zoals de naam al aangeeft, zijn extensies van verschillende applicaties. Elke applicatie die we gebruiken, kan al dan niet bepaalde codes gebruiken. Dergelijke codes worden opgeslagen in verschillende bestanden en worden alleen aangeroepen of in het RAM geladen wanneer de bijbehorende code vereist is. Het zorgt er dus voor dat een applicatiebestand niet te groot wordt en voorkomt dat de applicatie veel resources nodig heeft.

Het pad voor DLL - bestanden wordt ingesteld door het Windows -besturingssysteem. Het pad wordt bepaald met behulp van Global Environmental Variables . Als een toepassing een DLL -bestand aanvraagt, kijkt het besturingssysteem standaard in dezelfde map waarin de toepassing is opgeslagen. Als het daar niet wordt gevonden, gaat het naar andere mappen zoals ingesteld door de globale variabelen. Er zijn prioriteiten verbonden aan paden en het helpt Windows bij het bepalen in welke mappen de DLL's moeten worden gezocht . Dit is waar de DLL -kaping binnenkomt.

Wat is DLL-kaping?

Aangezien DLL^(DLLs) 's extensies zijn en noodzakelijk zijn om bijna alle toepassingen op uw machines te gebruiken, zijn ze aanwezig op de computer in verschillende mappen, zoals uitgelegd. Als het originele DLL -bestand wordt vervangen door een nep - DLL -bestand dat kwaadaardige code bevat, staat dit bekend als DLL-kaping^{(DLL Hijacking)} .

Zoals eerder vermeld, zijn er prioriteiten met betrekking tot waar het besturingssysteem naar DLL - bestanden zoekt. Eerst^(First) kijkt het in dezelfde map als de toepassingsmap en gaat vervolgens zoeken op basis van de prioriteiten die zijn ingesteld door de omgevingsvariabelen van het besturingssysteem. Dus als een good.dll-bestand zich in de SysWOW64-^(SysWOW64) map bevindt en iemand plaatst een bad.dll in een map met een hogere prioriteit in vergelijking met de SysWOW64- map, dan zal het besturingssysteem het bad.dll-bestand gebruiken, omdat het dezelfde naam heeft als de DLL . gevraagd door de applicatie. Eenmaal in het RAM kan het de kwaadaardige code in het bestand uitvoeren en uw computer of netwerken in gevaar brengen.

Hoe DLL-kaping te detecteren

De eenvoudigste methode om DLL^(DLL) -kaping te detecteren en te voorkomen , is door tools van derden te gebruiken. Er zijn enkele goede gratis tools op de markt die helpen bij het detecteren en voorkomen van een DLL - hackpoging.

Een zo'n programma is DLL Hijack Auditor , maar het ondersteunt alleen 32-bits toepassingen. U kunt het op uw computer installeren en al uw Windows-toepassingen scannen om te zien welke toepassingen kwetsbaar zijn voor DLL - kapingen. De interface is eenvoudig en spreekt voor zich. Het enige nadeel van deze applicatie is dat je geen 64-bit applicaties kunt scannen.

Een ander programma om DLL - kaping te detecteren,  DLL_HIJACK_DETECT, is beschikbaar via GitHub . Dit programma controleert applicaties om te zien of een van deze kwetsbaar is voor DLL - kaping. Als dit het geval is, informeert het programma de gebruiker. De applicatie heeft twee versies: x86 en x64 , zodat je ze beide kunt gebruiken om respectievelijk 32-bits en 64-bits applicaties te scannen.

Opgemerkt moet worden dat de bovenstaande programma's de applicaties op het Windows - platform alleen scannen op kwetsbaarheden en het kapen van DLL- bestanden niet daadwerkelijk voorkomen .

Hoe DLL-kaping te voorkomen?

Het probleem moet in de eerste plaats door de programmeurs worden aangepakt, omdat u niet veel kunt doen behalve uw beveiligingssystemen verbeteren. Als programmeurs in plaats van een relatief pad een absoluut pad gaan gebruiken, wordt de kwetsbaarheid verminderd. Het lezen van het absolute pad, Windows of een ander besturingssysteem is niet afhankelijk van systeemvariabelen voor pad en gaat rechtstreeks naar de beoogde DLL , waardoor de kans wordt uitgesloten dat ^(DLL)DLL met dezelfde naam in een pad met een hogere prioriteit wordt geladen. Ook deze methode is niet feilloos, want als het systeem wordt gecompromitteerd en de cybercriminelen het exacte pad van DLL kennen , zullen ze de originele DLL vervangen door de nep - DLL. Dat zou het bestand overschrijven, zodat de oorspronkelijke DLL wordt gewijzigd in kwaadaardige code. Maar nogmaals, de cybercrimineel moet het exacte absolute pad weten dat wordt vermeld in de toepassing die de DLL^(DLL) vraagt . Het proces is zwaar voor cybercriminelen en er kan daarom op worden gerekend.

Om terug te komen op wat u kunt doen, probeert u gewoon uw beveiligingssystemen op te schalen om uw Windows-systeem beter te beveiligen^{(secure your Windows system)} . Gebruik een goede firewall . Gebruik indien mogelijk een hardwarefirewall of schakel de firewall van de router in. Gebruik goede inbraakdetectiesystemen, zodat u weet of iemand met uw computer probeert te spelen.

Als u problemen met computers wilt oplossen, kunt u ook het volgende doen om uw beveiliging te verbeteren:

1. Schakel het laden van DLL 's uit externe netwerkshares uit
2. Schakel het laden van DLL- bestanden uit WebDAV uit^(WebDAV)
3. Schakel de WebClient -service volledig uit of stel deze in op handmatig
4. Blokkeer^(Block) de TCP -poorten 445 en 139 omdat deze het meest worden gebruikt voor compromitterende computers
5. Installeer de laatste updates voor het besturingssysteem en de beveiligingssoftware.

Microsoft heeft een tool uitgebracht om DLL - lading-kaping-aanvallen te blokkeren. Deze tool verkleint het risico van DLL -kapingaanvallen door te voorkomen dat applicaties op onveilige wijze code uit DLL - bestanden laden.

Als u iets aan het artikel wilt toevoegen, kunt u hieronder reageren.^{(If you would like to add anything to the article, please comment below.)}

DLL Hijacking Vulnerability Attacks, Prevention & Detection

DLL stands for Dynamic Link Libraries and are external parts of applications that run on Windows or any other operating system. Most applіcations are not complete in themselves and store codе in dіfferеnt files. If there is a need for the cоde, the related file is loaded into memory and usеd. This reduces applicatіon file size while optimizing the υsage of RAM. This article explains what is DLL Hijacking and how to detect and prevent it.

What are DLL Files or Dynamic Link Libraries

DLL files are Dynamic Link Libraries and as evident by the name, are extensions of different applications. Any application we use may or may not use certain codes. Such codes are stored in different files and are invoked or loaded into RAM only when the related code is required. Thus, it saves an application file from becoming too big and to prevent resource hogging by the application.

The path for DLL files are set by the Windows operating system. The path is set using Global Environmental Variables. By default, if an application requests a DLL file, the operating system looks into the same folder in which the application is stored. If it is not found there, it goes to other folders as set by the global variables. There are priorities attached to paths and it helps Windows in determining what folders to look for the DLLs. This is where the DLL hijacking comes in.

What is DLL Hijacking

Since DLLs are extensions and necessary to using almost all applications on your machines, they are present on the computer in different folders as explained. If the original DLL file is replaced with a fake DLL file containing malicious code, it is known as DLL Hijacking.

As mentioned earlier, there are priorities as to where the operating system looks for DLL files. First, it looks into the same folder as the application folder and then goes searching, based on the priorities set by the environment variables of the operating system. Thus if a good.dll file is in SysWOW64 folder and someone places a bad.dll in a folder that has higher priority compared to SysWOW64 folder, the operating system will use the bad.dll file, as it has the same name as the DLL requested by the application. Once in RAM, it can execute the malicious code contained in the file and may compromise your computer or networks.

How to detect DLL Hijacking

The easiest method to detect and prevent DLL hijacking is to use third-party tools. There are some good free tools available in the market that helps in detecting a DLL hack attempt and prevent it.

One such program is DLL Hijack Auditor but it supports only 32-bit applications. You can install it on your computer and scan all your Windows applications to see what all applications are vulnerable to DLL hijack. The interface is simple and self-explanatory. The only drawback of this application is that you cannot scan 64-bit applications.

Another program, to detect DLL hijacking, DLL_HIJACK_DETECT, is available via GitHub. This program checks applications to see if any of them are vulnerable to DLL hijacking. If it is, the program informs the user. The application has two versions – x86 and x64 so that you can use each to scan both 32-bit and 64-bit applications respectively.

It should be noted that the above programs just scan the applications on the Windows platform for vulnerabilities and do not actually prevent the hijacking of DLL files.

How to prevent DLL Hijacking

The issue should be tackled by the programmers in the first place as there is not much you can do except to beef up your security systems. If instead of a relative path, programmers start using an absolute path, the vulnerability will be reduced. Reading the absolute path, the Windows or any other operating system will not depend on system variables for path and will go straight for the intended DLL, thereby dismissing the chances of loading the same name DLL in a higher priority path. This method too, is not fail-proof because if the system is compromised, and the cybercriminals know the exact path of DLL, they will replace the original DLL with the fake DLL. That would be overwriting the file so that the original DLL is changed into malicious code. But again, the cybercriminal will need to know the exact absolute path mentioned in the application that calls for the DLL. The process is tough for cybercriminals and hence can be counted upon.

Coming back to what you can do, just try to scale up your security systems to better secure your Windows system. Use a good firewall. If possible, use a hardware firewall or turn on the router firewall. Use good intrusion detection systems so that you know if anyone is trying to play with your computer.

If you are into troubleshooting computers, you may also perform the following to up your security:

1. Disable DLL loading from remote network shares
2. Disable loading of DLL files from WebDAV
3. Disable WebClient service completely or set it to manual
4. Block the TCP ports 445 and 139 as they are used most for compromising computers
5. Install the latest updates to the operating system and security software.

Microsoft has released a tool to block DLL load hijacking attacks. This tool mitigates the risk of DLL hijacking attacks by preventing applications from insecurely loading code from DLL files.

If you would like to add anything to the article, please comment below.

Related posts

• Wat is een trojan voor externe toegang? Preventie, detectie en verwijdering

• Malware-aanvallen, bescherming en detectie zonder bestanden

• Hoe phishing-zwendel en -aanvallen te voorkomen?

• Cyberaanvallen - Definitie, typen, preventie

• Browserkaping en gratis hulpprogramma's voor het verwijderen van browserkapers

• Wat is cybercriminaliteit? Hoe ermee om te gaan?

• Wat is Win32: BogEnt en hoe verwijder je het?

• Bundelware: handleiding voor definitie, preventie en verwijdering

• De beste virus- en malwarescanners GEGARANDEERD om elk virus te vernietigen

• Malware van uw pc verwijderen in Windows 10

• Verwijder het virus van de USB Flash Drive met behulp van de opdrachtprompt of batchbestand

• Wat is een Backdoor-aanval? Betekenis, voorbeelden, definities

• Microsoft Windows Logo-proces in Taakbeheer; Is het een virus?

• Beste gratis software voor het verwijderen van spyware en malware

• Hoe kom je aan een computervirus, trojan, werk, spyware of malware?

• Hulpprogramma's voor extern beheer: risico's, bedreigingen, preventie

• Wat is het IDP.generic-virus en hoe verwijder je het?

• Malware van een Android-telefoon verwijderen

• Tips om uw computer te beschermen tegen Thunderspy-aanvallen

• Voorkom Drive-by-downloads en gerelateerde malware-aanvallen