DLL sta per Dynamic Link Libraries e sono parti esterne di applicazioni eseguite su Windows o qualsiasi altro sistema operativo. La maggior parte delle applicazioni non è completa di per sé e memorizza il codice in file diversi. Se è necessario il codice, il relativo file viene caricato in memoria e utilizzato. Ciò riduce le dimensioni del file dell'applicazione ottimizzando l'utilizzo della RAM . Questo articolo spiega cos'è il dirottamento delle DLL^{(DLL Hijacking)} e come rilevarlo e prevenirlo.

Cosa sono i file^(Files) DLL o le librerie di collegamento dinamico^{(Dynamic Link Libraries)}

I file DLL^(DLL) sono librerie di collegamento dinamico^{(Dynamic Link Libraries)} e, come evidente dal nome, sono estensioni di diverse applicazioni. Qualsiasi applicazione che utilizziamo può o meno utilizzare determinati codici. Tali codici sono memorizzati in file diversi e vengono richiamati o caricati nella RAM solo quando è richiesto il relativo codice. Pertanto, evita che un file dell'applicazione diventi troppo grande e prevenga l'occupazione di risorse da parte dell'applicazione.

Il percorso dei file DLL è impostato dal sistema operativo Windows . Il percorso viene impostato utilizzando le variabili ambientali globali^{(Global Environmental Variables)} . Per impostazione predefinita, se un'applicazione richiede un file DLL , il sistema operativo cerca nella stessa cartella in cui è archiviata l'applicazione. Se non viene trovato lì, va in altre cartelle come impostato dalle variabili globali. Ci sono priorità associate ai percorsi e aiuta Windows a determinare quali cartelle cercare le DLL^(DLLs) . È qui che entra in gioco il dirottamento della DLL .

Che cos'è il dirottamento DLL

Poiché le DLL^(DLLs) sono estensioni e sono necessarie per utilizzare quasi tutte le applicazioni sui computer, sono presenti sul computer in cartelle diverse come spiegato. Se il file DLL originale viene sostituito con un file ^(DLL)DLL falso contenente codice dannoso, è noto come DLL Hijacking .

Come accennato in precedenza, ci sono priorità su dove il sistema operativo cerca i file DLL . Innanzitutto^(First) , cerca nella stessa cartella della cartella dell'applicazione e quindi effettua la ricerca, in base alle priorità impostate dalle variabili di ambiente del sistema operativo. Pertanto, se un file good.dll si trova nella cartella SysWOW64 e qualcuno inserisce un file bad.dll in una cartella con priorità maggiore rispetto alla cartella SysWOW64 , il sistema operativo utilizzerà il file bad.dll, poiché ha lo stesso nome della DLL richiesto dalla domanda. Una volta nella RAM , può eseguire il codice dannoso contenuto nel file e può compromettere il tuo computer o le tue reti.

Come rilevare il dirottamento della DLL

Il metodo più semplice per rilevare e prevenire il dirottamento delle DLL consiste nell'utilizzare strumenti di terze parti. Ci sono alcuni buoni strumenti gratuiti disponibili sul mercato che aiutano a rilevare un tentativo di hacking DLL e prevenirlo.^(DLL)

Uno di questi programmi è DLL Hijack Auditor ma supporta solo applicazioni a 32 bit. Puoi installarlo sul tuo computer ed eseguire la scansione di tutte le tue applicazioni Windows per vedere quali applicazioni sono vulnerabili al dirottamento della DLL . L'interfaccia è semplice e autoesplicativa. L'unico inconveniente di questa applicazione è che non è possibile eseguire la scansione di applicazioni a 64 bit.

Un altro programma, per rilevare il dirottamento  delle DLL , DLL_HIJACK_DETECT, è disponibile tramite GitHub . Questo programma controlla le applicazioni per vedere se qualcuna di esse è vulnerabile al dirottamento delle DLL . Se lo è, il programma informa l'utente. L'applicazione ha due versioni: x86 e x64 in modo da poterle utilizzare ciascuna per eseguire la scansione rispettivamente di applicazioni a 32 e 64 bit.

Va notato che i programmi di cui sopra scansionano semplicemente le applicazioni sulla piattaforma Windows per ^(Windows)le vulnerabilità e non impediscono effettivamente il dirottamento dei file DLL .

Come prevenire il dirottamento delle DLL

Il problema dovrebbe essere affrontato in primo luogo dai programmatori poiché non c'è molto che puoi fare se non rafforzare i tuoi sistemi di sicurezza. Se invece di un percorso relativo, i programmatori iniziano a utilizzare un percorso assoluto, la vulnerabilità verrà ridotta. Leggendo il percorso assoluto, Windows o qualsiasi altro sistema operativo non dipenderà dalle variabili di sistema per il percorso e andrà direttamente alla DLL prevista , eliminando così le possibilità di caricare la DLL con lo stesso nome in un percorso con priorità più alta. Anche questo metodo non è a prova di errore perché se il sistema è compromesso e i criminali informatici conoscono il percorso esatto della DLL , sostituiranno la DLL originale con la ^(DLL)DLL falsa. Ciò significherebbe sovrascrivere il file in modo che la DLL originale venga modificata in codice dannoso. Ma ancora una volta, il criminale informatico dovrà conoscere l'esatto percorso assoluto menzionato nell'applicazione che richiede la DLL . Il processo è difficile per i criminali informatici e quindi si può fare affidamento.

Tornando a ciò che puoi fare, prova a scalare i tuoi sistemi di sicurezza per proteggere meglio il tuo sistema Windows^{(secure your Windows system)} . Usa un buon firewall . Se possibile, utilizzare un firewall hardware o attivare il firewall del router. Usa buoni sistemi di rilevamento delle intrusioni in modo da sapere se qualcuno sta cercando di giocare con il tuo computer.

Se stai risolvendo problemi con i computer, puoi anche eseguire quanto segue per aumentare la tua sicurezza:

1. Disabilita il caricamento della DLL da condivisioni di rete remote
2. Disabilita il caricamento dei file DLL da WebDAV
3. Disabilita completamente il servizio WebClient o impostalo su manuale
4. Blocca^(Block) le porte TCP 445 e 139 poiché vengono utilizzate maggiormente per compromettere i computer
5. Installa gli ultimi aggiornamenti per il sistema operativo e il software di sicurezza.

Microsoft ha rilasciato uno strumento per bloccare gli attacchi di dirottamento del carico DLL . Questo strumento riduce il rischio di attacchi di dirottamento delle DLL impedendo alle applicazioni di caricare in modo non sicuro codice dai file DLL .

Se vuoi aggiungere qualcosa all'articolo, commenta qui sotto.^{(If you would like to add anything to the article, please comment below.)}

DLL Hijacking Vulnerability Attacks, Prevention & Detection

DLL stands for Dynamic Link Libraries and are external parts of applications that run on Windows or anу other operating system. Mоst applications are not complete in themsеlves and store code in different files. If there is a need for thе code, the related file is loaded into memory and used. This reduces application file size whіle optimizing the usage of RAM. Τhis article exрlaіns what is DLL Hijacking and how to detect and prevent it.

What are DLL Files or Dynamic Link Libraries

DLL files are Dynamic Link Libraries and as evident by the name, are extensions of different applications. Any application we use may or may not use certain codes. Such codes are stored in different files and are invoked or loaded into RAM only when the related code is required. Thus, it saves an application file from becoming too big and to prevent resource hogging by the application.

The path for DLL files are set by the Windows operating system. The path is set using Global Environmental Variables. By default, if an application requests a DLL file, the operating system looks into the same folder in which the application is stored. If it is not found there, it goes to other folders as set by the global variables. There are priorities attached to paths and it helps Windows in determining what folders to look for the DLLs. This is where the DLL hijacking comes in.

What is DLL Hijacking

Since DLLs are extensions and necessary to using almost all applications on your machines, they are present on the computer in different folders as explained. If the original DLL file is replaced with a fake DLL file containing malicious code, it is known as DLL Hijacking.

As mentioned earlier, there are priorities as to where the operating system looks for DLL files. First, it looks into the same folder as the application folder and then goes searching, based on the priorities set by the environment variables of the operating system. Thus if a good.dll file is in SysWOW64 folder and someone places a bad.dll in a folder that has higher priority compared to SysWOW64 folder, the operating system will use the bad.dll file, as it has the same name as the DLL requested by the application. Once in RAM, it can execute the malicious code contained in the file and may compromise your computer or networks.

How to detect DLL Hijacking

The easiest method to detect and prevent DLL hijacking is to use third-party tools. There are some good free tools available in the market that helps in detecting a DLL hack attempt and prevent it.

One such program is DLL Hijack Auditor but it supports only 32-bit applications. You can install it on your computer and scan all your Windows applications to see what all applications are vulnerable to DLL hijack. The interface is simple and self-explanatory. The only drawback of this application is that you cannot scan 64-bit applications.

Another program, to detect DLL hijacking, DLL_HIJACK_DETECT, is available via GitHub. This program checks applications to see if any of them are vulnerable to DLL hijacking. If it is, the program informs the user. The application has two versions – x86 and x64 so that you can use each to scan both 32-bit and 64-bit applications respectively.

It should be noted that the above programs just scan the applications on the Windows platform for vulnerabilities and do not actually prevent the hijacking of DLL files.

How to prevent DLL Hijacking

The issue should be tackled by the programmers in the first place as there is not much you can do except to beef up your security systems. If instead of a relative path, programmers start using an absolute path, the vulnerability will be reduced. Reading the absolute path, the Windows or any other operating system will not depend on system variables for path and will go straight for the intended DLL, thereby dismissing the chances of loading the same name DLL in a higher priority path. This method too, is not fail-proof because if the system is compromised, and the cybercriminals know the exact path of DLL, they will replace the original DLL with the fake DLL. That would be overwriting the file so that the original DLL is changed into malicious code. But again, the cybercriminal will need to know the exact absolute path mentioned in the application that calls for the DLL. The process is tough for cybercriminals and hence can be counted upon.

Coming back to what you can do, just try to scale up your security systems to better secure your Windows system. Use a good firewall. If possible, use a hardware firewall or turn on the router firewall. Use good intrusion detection systems so that you know if anyone is trying to play with your computer.

If you are into troubleshooting computers, you may also perform the following to up your security:

1. Disable DLL loading from remote network shares
2. Disable loading of DLL files from WebDAV
3. Disable WebClient service completely or set it to manual
4. Block the TCP ports 445 and 139 as they are used most for compromising computers
5. Install the latest updates to the operating system and security software.

Microsoft has released a tool to block DLL load hijacking attacks. This tool mitigates the risk of DLL hijacking attacks by preventing applications from insecurely loading code from DLL files.

If you would like to add anything to the article, please comment below.

Related posts

• Che cos'è il Trojan di accesso remoto? Prevenzione, rilevamento e rimozione

• Fileless Malware Attacks, Protection and Detection

• Come evitare Phishing Scams and Attacks?

• Cyber Attacks - Definizione, Types, Prevenzione

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Cos'è Rootkit? Come funziona Rootkits? Rootkits ha spiegato

• Microsoft Windows Logo process in Task Manager; È un virus?

• In che modo Microsoft identificano le applicazioni indesiderate Malware & Potentially

• Il miglior software gratuito per la rimozione di spyware e malware

• Come rimuovere Malware dal PC in Windows 10

• Bundleware: Definizione, Prevention, Removal Guide

• Come si può ottenere uno computer virus, un trojan, il lavoro, spyware or malware?

• Remove virus da USB Flash Drive utilizzando Command Prompt or Batch File

• Controlla se il tuo computer è stato infettato dallo ASUS Update Malware

• Cos'è IDP.Generic and How per rimuoverlo in sicurezza da Windows?

• Cos'è CandyOpen? Come rimuovere CandyOpen da Windows 10?

• Cryptojacking Il nuovo browser mining threat Devi sapere

• Remote Administration Tools: Rischi, Threats, Prevention

• Cos'è uno Backdoor attack? Meaning, Examples, Definitions

• Come rimuovere Chromium Virus da Windows 11/10