detecting-process-hollowing-technique
por mukul975detecting-process-hollowing-technique ajuda a caçar process hollowing (T1055.012) em telemetria do Windows correlacionando execuções suspensas, adulteração de memória, anomalias entre processo pai e filho e evidências de API. Feita para threat hunters, detection engineers e responders que precisam de um detecting-process-hollowing-technique prático para o fluxo de trabalho de Threat Hunting.
Esta skill recebeu 81/100, o que indica que é uma boa opção para usuários que investigam process hollowing (T1055.012). O repositório traz detalhes operacionais suficientes para um agente entender quando usá-la, seguir um fluxo de detecção e aproveitar scripts e referências de apoio com relativamente pouca incerteza, embora ainda seja mais voltada à detecção do que totalmente pronta para uso imediato.
- Alta acionabilidade: o SKILL.md deixa claro que o foco é detecção de process hollowing e cita casos de uso concretos, como alertas de EDR, ameaças em memória e validação purple team.
- Boa estrutura operacional: o repositório inclui um fluxo de trabalho em múltiplas fases, além de referências de apoio para Sysmon, MDE/KQL, Splunk SPL e contexto de sequência de APIs.
- Bom suporte para agentes: scripts e templates oferecem pontos de partida executáveis para análise de logs do Sysmon e documentação de hunting, em vez de só orientação narrativa.
- Não há comando de instalação no SKILL.md, então os usuários talvez precisem inferir por conta própria como operacionalizar os scripts e dependências.
- Parte do conteúdo do fluxo de trabalho está truncada na evidência, e a skill parece focada em telemetria do Windows, o que limita a aderência fora desse ambiente.
Visão geral da skill detecting-process-hollowing-technique
A skill detecting-process-hollowing-technique ajuda você a caçar process hollowing (MITRE ATT&CK T1055.012) em telemetria do Windows, correlacionando criação de processo, adulteração de memória e anomalias entre processo pai e filho. Ela é ideal para threat hunters, detection engineers e incident responders que precisam de um fluxo prático de detecting-process-hollowing-technique for Threat Hunting, e não de uma explicação genérica sobre injeção de processo.
Para que esta skill serve
Use esta skill quando precisar decidir se um processo suspeito foi realmente hollowed, e não apenas incomum. Ela foca nos sinais que importam na prática operacional: criação de processo suspenso, incompatibilidade de imagem, gravações remotas de memória e fluxo de execução anormal depois que a thread é retomada.
Por que ela é útil em hunts reais
O principal valor da detecting-process-hollowing-technique skill é a estrutura. Em vez de partir de um único alerta, ela propõe uma sequência: identificar processos candidatos, validar contra relações esperadas entre processo pai e filho no Windows e, depois, confirmar com evidências de memória e de API. Isso reduz falsos positivos causados por comportamento legítimo de serviços e ajuda a separar “estranho” de “malicioso”.
O que a torna diferente
Esta skill mostra mais valor quando você tem telemetria de EDR ou Sysmon e precisa de um fluxo orientado à detecção. Ela é mais útil do que um prompt de uma linha porque já incorpora a cadeia típica de hollowing e a troca comum: para ganhar confiança, você precisa enxergar melhor o processo e a memória. Se você só tem logs de rede, esta skill não vai oferecer evidência suficiente.
Como usar a skill detecting-process-hollowing-technique
Instale e carregue
Instale com:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-process-hollowing-technique
Depois, abra primeiro skills/detecting-process-hollowing-technique/SKILL.md. Se quiser o contexto operacional por trás da lógica de hunting, leia também references/standards.md e references/workflows.md antes de rodar a skill no seu próprio ambiente.
Comece com a entrada certa
A skill funciona melhor quando o prompt inclui a fonte de telemetria, uma breve descrição da suspeita e a janela de tempo. Por exemplo: “Analise os Sysmon Event IDs 1, 8, 10 e 25 do host X em busca de sinais de process hollowing após um lançamento suspeito de svchost.exe às 14:30 UTC.” Isso é melhor do que “verifique malware”, porque dá ao modelo um alvo de hunt concreto e um caminho de validação.
Fluxo de trabalho sugerido
- Use a skill para reduzir a lista de processos candidatos a partir de Sysmon ou EDR.
- Valide a relação entre processo pai e filho com o baseline do Windows.
- Verifique indicadores de hollowing: início suspenso, sequência de unmap/write/redirect e eventos de tampering.
- Confirme com evidência de memória, se disponível.
- Converta o resultado em uma nota de hunt ou regra de detecção, usando
assets/template.mdcomo estrutura do relatório.
Arquivos para ler primeiro
Para detecting-process-hollowing-technique usage, priorize:
SKILL.mdpara a lógica de hunt e os pré-requisitosreferences/api-reference.mdpara a sequência de API e um exemplo de query no Splunkreferences/workflows.mdpara exemplos com Sysmon e MDEassets/template.mdpara documentar os achados com clarezascripts/agent.pyescripts/process.pyse você quiser automatizar a análise de eventos ou a triagem
FAQ da skill detecting-process-hollowing-technique
Isso é só para analistas avançados?
Não. O detecting-process-hollowing-technique guide é acessível para iniciantes que já entendem conceitos básicos de processos no Windows. Você precisa de contexto suficiente para distinguir comportamento normal de serviço de padrões suspeitos de injeção, mas a skill entrega um caminho de hunt utilizável em vez de exigir conhecimento profundo de engenharia reversa.
Preciso de EDR ou Sysmon?
Preferencialmente, sim. A skill é mais forte com telemetria de Sysmon e EDR, porque process hollowing muitas vezes fica invisível em logs básicos do endpoint. Sem telemetria de criação de processo, tampering ou memória, você pode chegar no máximo a uma suspeita fraca, e não a uma conclusão defensável.
Em que ela difere de um prompt comum?
Um prompt comum pode descrever process hollowing em termos gerais. Esta skill é mais orientada à decisão: ela leva você a verificações específicas, baselines esperados de processo pai e filho e evidências que sustentam ou refutam T1055.012. Normalmente, isso gera uma saída de triagem melhor e respostas menos vagas.
Quando não devo usá-la?
Não use detecting-process-hollowing-technique se o caso for בעיקר sobre exploração de navegador, malware por macro ou persistência genérica sem evidência de injeção de processo. Ela também não é uma boa escolha quando você não tem telemetria de endpoint e só precisa de um resumo de incidente em alto nível.
Como melhorar a skill detecting-process-hollowing-technique
Dê mais contexto de telemetria
O maior ganho de qualidade vem de dados de entrada melhores. Inclua versão do sistema operacional, origem dos logs, event IDs e um ou dois nomes de processo suspeitos. Por exemplo: “Windows 11, Sysmon 13, Event 1 e 25, svchost.exe iniciado por cmd.exe, seguido de alerta de tampering às 14:31.” Isso ajuda o modelo a se ancorar no caminho certo de detecção.
Peça um veredito com evidências
Se quiser uma saída útil, peça tanto a conclusão quanto a cadeia de evidências. Um bom pedido é: “Classifique a probabilidade de process hollowing, liste os indicadores de suporte e indique qual evidência ainda está faltando.” Isso força o resultado a separar achados confirmados de suposições.
Fique atento aos modos comuns de falha
O erro mais comum é concluir hollowing só por divergência entre processo pai e filho. Outro é tratar todo processo suspenso como malicioso. Melhore o resultado fornecendo expectativas de baseline para pai/filho, atividades administrativas conhecidas como legítimas e informando se há evidência de memória ou apenas logs de evento.
Itere depois da primeira passada
Use a primeira resposta para identificar o que está faltando e execute a skill de novo com essas lacunas preenchidas. Se a saída vier incerta, adicione hashes de processo, command lines, módulos carregados e o intervalo entre CreateProcess, WriteProcessMemory e ResumeThread. Isso transforma uma resposta genérica da detecting-process-hollowing-technique skill em uma nota de detecção ou de hunt muito mais defensável.