Detecci%C3%B3n_APT

ficheros xml donde se define la ruta de los ejecutables que deseamos proteger;
opción bastante útil para portar configuraciones de un equipo a otro. En la
siguiente figura se muestra como proteger la suite de Microsoft Office mediante el
fichero de configuración Office Software.xml.
¿Cómo funciona EMET?
Ilustración 98. EMET_Conf.exe
La forma que tiene EMET de trabajar es mediante la inyección de una dll
(emet.dll), la cual permitirá modificar el comportamiento de los procesos
afectados durante la carga de los mismos, como por ejemplo, modificar la
dirección base del ejecutable en memoria con los que evitar ROP attacks.
Según explica David Delaune 270 , EMET hookea LdrLoadDll y chequea el valor de
IMAGE_DLL_CHARACTERISTICS_DYNAMIC_BASE. En caso de no implementar ASLR,
EMET forzará la carga de dicho ejecutable en otra dirección de memoria
(ignorando así el valor ImageBase del PE Header). La incorporación de BUT
(Bottom-UP Rand) en la versión 2.1 de EMET añadió una entropía de 8 bits sobre el
heap, stack y otras regiones de memoria frente a los 4 bits proporcionados por
Mandatory ASLR. Seleccionando por tanto BUT en nuestras aplicaciones estaremos
270 ASLR mitigation not set on some applications
http://social.technet.microsoft.com/Forums/en/emet/thread/2208281f-ef4e-412d-ad7f-cd2f36404eb6
182