DLL signifie Dynamic Link Libraries et sont des parties externes d'applications qui s'exécutent sur Windows ou tout autre système d'exploitation. La plupart des applications ne sont pas complètes en elles-mêmes et stockent le code dans différents fichiers. Si le code est nécessaire, le fichier associé est chargé en mémoire et utilisé. Cela réduit la taille du fichier d'application tout en optimisant l'utilisation de la RAM . Cet article explique ce qu'est le détournement de DLL^{(DLL Hijacking)} et comment le détecter et l'empêcher.

Que sont les fichiers^(Files) DLL ou les bibliothèques de liens dynamiques^{(Dynamic Link Libraries)}

^(DLL)Les fichiers DLL sont des bibliothèques de liens dynamiques^{(Dynamic Link Libraries)} et, comme leur nom l'indique, sont des extensions de différentes applications. Toute application que nous utilisons peut ou non utiliser certains codes. Ces codes sont stockés dans différents fichiers et sont invoqués ou chargés dans la RAM uniquement lorsque le code associé est requis. Ainsi, il évite qu'un fichier d'application ne devienne trop volumineux et évite l'accaparement des ressources par l'application.

Le chemin d'accès aux fichiers DLL est défini par le système d'exploitation ^(DLL)Windows . Le chemin est défini à l'aide de Global Environmental Variables^{(Global Environmental Variables)} . Par défaut, si une application demande un fichier DLL , le système d'exploitation regarde dans le même dossier dans lequel l'application est stockée. S'il n'y est pas trouvé, il va dans d'autres dossiers définis par les variables globales. Des priorités sont attachées aux chemins et cela aide Windows à déterminer les dossiers dans lesquels rechercher les DLL^(DLLs) . C'est là qu'intervient le détournement de DLL .

Qu'est-ce que le piratage de DLL

Les DLL^(DLLs) étant des extensions et nécessaires à l'utilisation de presque toutes les applications sur vos machines, elles sont présentes sur l'ordinateur dans différents dossiers, comme expliqué. Si le fichier DLL d'origine est remplacé par un faux fichier DLL contenant du code malveillant, il s'agit d'un détournement de DLL^{(DLL Hijacking)} .

Comme mentionné précédemment, il existe des priorités quant à l'endroit où le système d'exploitation recherche les fichiers DLL . Tout^(First) d'abord , il regarde dans le même dossier que le dossier de l'application, puis effectue une recherche en fonction des priorités définies par les variables d'environnement du système d'exploitation. Ainsi, si un fichier good.dll se trouve dans le dossier SysWOW64 et que quelqu'un place un bad.dll dans un dossier dont la priorité est supérieure à celle du dossier SysWOW64 , le système d'exploitation utilisera le fichier bad.dll, car il porte le même nom que la DLL . demandée par l'application. Une fois dans la RAM^(RAM) , il peut exécuter le code malveillant contenu dans le fichier et peut compromettre votre ordinateur ou vos réseaux.

Comment détecter le détournement de DLL

La méthode la plus simple pour détecter et empêcher le piratage de DLL consiste à utiliser des outils tiers. Il existe de bons outils gratuits disponibles sur le marché qui aident à détecter une tentative de piratage DLL et à l'empêcher.

L'un de ces programmes est DLL Hijack Auditor , mais il ne prend en charge que les applications 32 bits. Vous pouvez l'installer sur votre ordinateur et analyser toutes vos applications Windows pour voir quelles sont toutes les applications vulnérables au piratage de DLL . L'interface est simple et explicite. Le seul inconvénient de cette application est que vous ne pouvez pas analyser les applications 64 bits.

Un autre programme, pour détecter le piratage de DLL ,  DLL_HIJACK_DETECT, est disponible via GitHub . Ce programme vérifie les applications pour voir si l'une d'entre elles est vulnérable au piratage de DLL . Si c'est le cas, le programme informe l'utilisateur. L'application a deux versions - x86 et x64 afin que vous puissiez utiliser chacune pour analyser respectivement les applications 32 bits et 64 bits.

Il convient de noter que les programmes ci-dessus analysent simplement les applications sur la plate-forme Windows à la recherche de ^(Windows)vulnérabilités et n'empêchent pas réellement le piratage des fichiers DLL .

Comment empêcher le piratage de DLL

Le problème doit être résolu par les programmeurs en premier lieu, car vous ne pouvez pas faire grand-chose à part renforcer vos systèmes de sécurité. Si au lieu d'un chemin relatif, les programmeurs commencent à utiliser un chemin absolu, la vulnérabilité sera réduite. En lisant le chemin absolu, Windows ou tout autre système d'exploitation ne dépendra pas des variables système pour le chemin et ira directement vers le DLL prévu , éliminant ainsi les chances de charger le même nom DLL dans un chemin de priorité plus élevée. Cette méthode n'est pas non plus infaillible car si le système est compromis et que les cybercriminels connaissent le chemin exact de la DLL , ils remplaceront la DLL d'origine par la fausse DLL .. Ce serait écraser le fichier afin que la DLL d'origine soit transformée en code malveillant. Mais encore une fois, le cybercriminel devra connaître le chemin absolu exact mentionné dans l'application qui appelle la DLL . Le processus est difficile pour les cybercriminels et on peut donc compter dessus.

Pour en revenir à ce que vous pouvez faire, essayez simplement de faire évoluer vos systèmes de sécurité pour mieux sécuriser votre système Windows^{(secure your Windows system)} . Utilisez un bon pare^(firewall) -feu . Si possible, utilisez un pare-feu matériel ou activez le pare-feu du routeur. Utilisez de bons systèmes de détection d'intrusion afin de savoir si quelqu'un essaie de jouer avec votre ordinateur.

Si vous souhaitez dépanner des ordinateurs, vous pouvez également effectuer les opérations suivantes pour renforcer votre sécurité :

1. Désactiver le chargement de DLL à partir de partages réseau distants
2. Désactiver le chargement des fichiers DLL depuis ^(DLL)WebDAV
3. Désactivez complètement le service WebClient ou réglez-le sur manuel
4. Bloquez^(Block) les ports TCP 445 et 139 car ils sont les plus utilisés pour compromettre les ordinateurs
5. Installez les dernières mises à jour du système d'exploitation et du logiciel de sécurité.

Microsoft a publié un outil pour bloquer les attaques de détournement de chargement de DLL . Cet outil atténue le risque d'attaques de piratage de DLL en empêchant les applications de charger de manière non sécurisée du code à partir de fichiers DLL .

Si vous souhaitez ajouter quelque chose à l'article, veuillez commenter ci-dessous.^{(If you would like to add anything to the article, please comment below.)}

DLL Hijacking Vulnerability Attacks, Prevention & Detection

DLL stands for Dynamic Link Libraries and are external parts of applications that run on Windоws or any other operating system. Most applications are not complete in themѕelvеs and store code in different files. If there is a need for the code, the related file is loaded into memory and used. Τhis reduces application file size while optimizing the usage of RAM. This article explains whаt is DLL Hijacking and how to detect and prevent it.

What are DLL Files or Dynamic Link Libraries

DLL files are Dynamic Link Libraries and as evident by the name, are extensions of different applications. Any application we use may or may not use certain codes. Such codes are stored in different files and are invoked or loaded into RAM only when the related code is required. Thus, it saves an application file from becoming too big and to prevent resource hogging by the application.

The path for DLL files are set by the Windows operating system. The path is set using Global Environmental Variables. By default, if an application requests a DLL file, the operating system looks into the same folder in which the application is stored. If it is not found there, it goes to other folders as set by the global variables. There are priorities attached to paths and it helps Windows in determining what folders to look for the DLLs. This is where the DLL hijacking comes in.

What is DLL Hijacking

Since DLLs are extensions and necessary to using almost all applications on your machines, they are present on the computer in different folders as explained. If the original DLL file is replaced with a fake DLL file containing malicious code, it is known as DLL Hijacking.

As mentioned earlier, there are priorities as to where the operating system looks for DLL files. First, it looks into the same folder as the application folder and then goes searching, based on the priorities set by the environment variables of the operating system. Thus if a good.dll file is in SysWOW64 folder and someone places a bad.dll in a folder that has higher priority compared to SysWOW64 folder, the operating system will use the bad.dll file, as it has the same name as the DLL requested by the application. Once in RAM, it can execute the malicious code contained in the file and may compromise your computer or networks.

How to detect DLL Hijacking

The easiest method to detect and prevent DLL hijacking is to use third-party tools. There are some good free tools available in the market that helps in detecting a DLL hack attempt and prevent it.

One such program is DLL Hijack Auditor but it supports only 32-bit applications. You can install it on your computer and scan all your Windows applications to see what all applications are vulnerable to DLL hijack. The interface is simple and self-explanatory. The only drawback of this application is that you cannot scan 64-bit applications.

Another program, to detect DLL hijacking, DLL_HIJACK_DETECT, is available via GitHub. This program checks applications to see if any of them are vulnerable to DLL hijacking. If it is, the program informs the user. The application has two versions – x86 and x64 so that you can use each to scan both 32-bit and 64-bit applications respectively.

It should be noted that the above programs just scan the applications on the Windows platform for vulnerabilities and do not actually prevent the hijacking of DLL files.

How to prevent DLL Hijacking

The issue should be tackled by the programmers in the first place as there is not much you can do except to beef up your security systems. If instead of a relative path, programmers start using an absolute path, the vulnerability will be reduced. Reading the absolute path, the Windows or any other operating system will not depend on system variables for path and will go straight for the intended DLL, thereby dismissing the chances of loading the same name DLL in a higher priority path. This method too, is not fail-proof because if the system is compromised, and the cybercriminals know the exact path of DLL, they will replace the original DLL with the fake DLL. That would be overwriting the file so that the original DLL is changed into malicious code. But again, the cybercriminal will need to know the exact absolute path mentioned in the application that calls for the DLL. The process is tough for cybercriminals and hence can be counted upon.

Coming back to what you can do, just try to scale up your security systems to better secure your Windows system. Use a good firewall. If possible, use a hardware firewall or turn on the router firewall. Use good intrusion detection systems so that you know if anyone is trying to play with your computer.

If you are into troubleshooting computers, you may also perform the following to up your security:

1. Disable DLL loading from remote network shares
2. Disable loading of DLL files from WebDAV
3. Disable WebClient service completely or set it to manual
4. Block the TCP ports 445 and 139 as they are used most for compromising computers
5. Install the latest updates to the operating system and security software.

Microsoft has released a tool to block DLL load hijacking attacks. This tool mitigates the risk of DLL hijacking attacks by preventing applications from insecurely loading code from DLL files.

If you would like to add anything to the article, please comment below.

Related posts

• Qu'est-ce que la télécommande Access Trojan? Prévention, Detection & Removal

• Fileless Malware Attacks, Protection and Detection

• Comment faire pour éviter Phishing Scams and Attacks?

• Cyber Attacks - Définition, Types, prévention

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Comment utiliser Avast Boot Scan pour supprimer Malware de Windows PC

• Qu'est-ce qu'un Backdoor attack? Meaning, Examples, Definitions

• Comment faire pour supprimer Malware de votre PC Windows 10

• Comment vérifier si un fichier est malveillant ou non sous Windows 11/10

• Comment supprimer Malware From un Android Phone

• Qu'est-ce que Rootkit? Comment fonctionne Rootkits? Rootkits a expliqué

• Meilleur logiciel gratuit de suppression de logiciels espions et de logiciels malveillants

• Qu'est-ce que Cyber crime? Comment y faire face?

• DDoS Distributed Denial de Service Attacks: Protection, Prevention

• Comment supprimer Virus Alert de Microsoft sur Windows PC

• Malware Submission: Où soumettre des fichiers malveillants au Microsoft & others?

• Prevent Drive-by Téléchargements et attaques de logiciels malveillants associés

• Comment checter Registry pour les logiciels malveillants dans Windows 10

• Comment pouvez-vous obtenir un computer virus, Trojan, Travail, spyware or malware?

• Bundleware: définition, Prevention, Removal Guide