detecting-process-hollowing-technique
par mukul975detecting-process-hollowing-technique aide à traquer le process hollowing (T1055.012) dans la télémétrie Windows en corrélant les lancements suspendus, les altérations mémoire, les anomalies parent-enfant et les preuves d’API. Conçu pour les threat hunters, les detection engineers et les intervenants qui ont besoin d’un workflow pratique de detecting-process-hollowing-technique pour le Threat Hunting.
Ce skill obtient 81/100, ce qui en fait une fiche solide pour les utilisateurs qui chassent le process hollowing (T1055.012). Le dépôt fournit suffisamment de détails opérationnels pour qu’un agent sache quand l’utiliser, suivre un workflow de détection et exploiter les scripts et références associés avec relativement peu d’incertitude, même s’il reste davantage orienté détection que prêt à l’emploi.
- Fort pouvoir de déclenchement : le fichier SKILL.md cible clairement la détection du process hollowing et cite des cas d’usage concrets comme les alertes EDR, les menaces mémoire et la validation purple team.
- Bon cadre opérationnel : le dépôt propose un workflow en plusieurs phases ainsi que des références utiles pour Sysmon, MDE/KQL, Splunk SPL et le contexte des séquences d’API.
- Bon levier pour un agent : les scripts et modèles offrent des points de départ exécutables pour l’analyse des journaux Sysmon et la documentation de chasse, plutôt qu’un simple descriptif narratif.
- Aucune commande d’installation dans SKILL.md, donc les utilisateurs devront peut-être déduire eux-mêmes comment mettre en œuvre les scripts et dépendances.
- Une partie du contenu du workflow est tronquée dans les éléments fournis, et le skill semble centré sur la télémétrie Windows, ce qui limite son intérêt en dehors de cet environnement.
Aperçu du skill de détection du process hollowing
Le skill detecting-process-hollowing-technique vous aide à traquer le process hollowing (MITRE ATT&CK T1055.012) dans la télémétrie Windows en corrélant création de processus, altération mémoire et anomalies parent-enfant. Il est particulièrement adapté aux threat hunters, aux detection engineers et aux incident responders qui ont besoin d’un workflow concret de detecting-process-hollowing-technique for Threat Hunting, et non d’une explication générique de l’injection de processus.
À quoi sert ce skill
Utilisez ce skill quand vous devez déterminer si un processus suspect a vraiment été hollowed, et pas seulement s’il paraît inhabituel. Il se concentre sur les signaux qui comptent en production : création de processus suspendu, décalage entre l’image attendue et l’image réelle, écritures mémoire distantes et flux d’exécution anormal après la reprise du thread.
Pourquoi il est utile en chasse réelle
La principale force du detecting-process-hollowing-technique skill tient à sa structure. Au lieu de partir d’une alerte isolée, il propose une séquence claire : repérer les processus candidats, vérifier les relations parent-enfant attendues sous Windows, puis confirmer avec des indices mémoire et des éléments au niveau API. Cela réduit les faux positifs liés à des comportements légitimes de services et aide à distinguer ce qui est seulement “bizarre” de ce qui est réellement “malveillant”.
Ce qui le différencie
Ce skill est particulièrement solide lorsque vous disposez de télémétrie EDR ou Sysmon et que vous avez besoin d’un workflow orienté détection. Il est plus utile qu’une simple requête d’une ligne, parce qu’il reflète déjà la chaîne habituelle du hollowing et son arbitrage classique : plus la confiance est élevée, plus il faut de visibilité sur les processus et la mémoire. Si vous ne disposez que des journaux réseau, ce skill ne vous donnera pas suffisamment d’éléments probants.
Comment utiliser le skill detecting-process-hollowing-technique
Installation et chargement
Installez avec :
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-process-hollowing-technique
Ouvrez ensuite d’abord skills/detecting-process-hollowing-technique/SKILL.md. Si vous voulez comprendre le contexte opérationnel qui sous-tend la logique de chasse, lisez aussi references/standards.md et references/workflows.md avant d’utiliser le skill dans votre propre environnement.
Commencez avec la bonne entrée
Le skill fonctionne mieux si votre prompt précise la source de télémétrie, un bref soupçon initial et la fenêtre temporelle. Par exemple : “Analyze Sysmon Event IDs 1, 8, 10, and 25 from host X for signs of process hollowing after a suspicious svchost.exe launch at 14:30 UTC.” C’est bien plus utile que “check for malware”, car cela donne au modèle une cible de chasse concrète et une voie de vérification.
Workflow recommandé
- Utilisez le skill pour réduire la liste des processus candidats à partir de Sysmon ou de l’EDR.
- Vérifiez la relation parent-enfant par rapport à la baseline Windows.
- Recherchez les indices de hollowing : démarrage suspendu, séquence unmap/write/redirect et événements d’altération.
- Confirmez avec des éléments mémoire si disponibles.
- Transformez le résultat en note de chasse ou en règle de détection, en vous appuyant sur
assets/template.mdpour la forme du reporting.
Fichiers à lire en priorité
Pour l’utilisation de detecting-process-hollowing-technique, commencez par :
SKILL.mdpour la logique de chasse et les prérequisreferences/api-reference.mdpour la séquence d’API et un exemple de requête Splunkreferences/workflows.mdpour des exemples Sysmon et MDEassets/template.mdpour documenter les constats de façon clairescripts/agent.pyetscripts/process.pysi vous voulez automatiser l’analyse ou le triage des événements
FAQ du skill detecting-process-hollowing-technique
Ce skill est-il réservé aux analystes avancés ?
Non. Le detecting-process-hollowing-technique guide reste accessible à des débutants qui connaissent déjà les notions de base sur les processus Windows. Il faut toutefois suffisamment de contexte pour distinguer un comportement normal de service d’un schéma d’injection suspect, mais le skill fournit une vraie voie de chasse au lieu d’exiger des compétences poussées en rétro-ingénierie.
Faut-il obligatoirement EDR ou Sysmon ?
Idéalement, oui. Le skill est bien plus efficace avec la télémétrie Sysmon et EDR, parce que le process hollowing est souvent invisible dans les journaux endpoint de base. Sans données sur la création de processus, les altérations ou la mémoire, vous n’obtiendrez parfois qu’un soupçon faible plutôt qu’une conclusion défendable.
En quoi est-ce différent d’un prompt classique ?
Un prompt classique peut décrire le process hollowing en termes généraux. Ce skill est plus orienté décision : il vous pousse vers des vérifications précises, des baselines parent-enfant attendues et des preuves qui étayent ou réfutent T1055.012. Le résultat est généralement plus utile pour le triage et moins vague.
Quand ne faut-il pas l’utiliser ?
N’utilisez pas detecting-process-hollowing-technique si votre cas concerne surtout l’exploitation de navigateur, un malware de macro ou une persistance générique sans preuve d’injection de processus. Ce skill est aussi mal adapté si vous n’avez pas de télémétrie endpoint et que vous avez seulement besoin d’un résumé d’incident à haut niveau.
Comment améliorer le skill detecting-process-hollowing-technique
Donnez davantage de contexte de télémétrie
Le gain de qualité le plus important vient de meilleures données d’entrée. Indiquez la version de l’OS, la source de journalisation, les Event IDs et un ou deux noms de processus suspects. Par exemple : “Windows 11, Sysmon 13, Event 1 and 25, svchost.exe started by cmd.exe, then tampering alert at 14:31.” Cela aide le modèle à s’ancrer dans la bonne voie de détection.
Demandez un verdict avec des preuves
Si vous voulez une sortie vraiment utile, demandez à la fois une conclusion et la chaîne de preuve. Une bonne demande serait : “Classify the likelihood of process hollowing, list supporting indicators, and note what evidence is still missing.” Cela oblige le résultat à distinguer les constats confirmés des hypothèses.
Surveillez les erreurs fréquentes
L’erreur la plus courante consiste à conclure trop vite au hollowing à partir d’un simple décalage parent-enfant. Une autre consiste à considérer tout processus suspendu comme malveillant. Améliorez le résultat en fournissant les attentes de baseline parent-enfant, les activités admin connues comme légitimes et le fait de disposer ou non de preuves mémoire, ou seulement de logs d’événements.
Itérez après un premier passage
Utilisez la première réponse pour identifier ce qui manque, puis relancez le skill avec ces lacunes comblées. Si la sortie reste prudente, ajoutez les hash des processus, les lignes de commande, les modules chargés et l’intervalle de temps entre CreateProcess, WriteProcessMemory et ResumeThread. Vous transformerez ainsi une réponse générique du detecting-process-hollowing-technique skill en note de détection ou de chasse beaucoup plus défendable.