用途：检测并狩猎 T1055 进程注入类防御规避技术，识别隐藏在合法进程中的恶意代码。适用时机包括：EDR 告警提示可疑跨进程内存访问或远程线程创建、调查注入 svchost.exe/explorer.exe 等系统进程的恶意软件、紫队演练验证注入检测能力、校验 Sysmon 配置对注入的覆盖度。
主要能力：基于 Sysmon 事件进行检测。事件 8（CreateRemoteThread）识别跨进程线程创建，是经典 DLL 注入与 shellcode 注入的首要指标；事件 10（ProcessAccess）跟踪带 PROCESS_VM_WRITE(0x0020)、PROCESS_VM_OPERATION(0x0008)、PROCESS_CREATE_THREAD(0x0002) 权限的跨进程句柄请求；事件 7（ImageLoaded）发现从临时目录等异常路径加载进系统进程的 DLL；事件 25（ProcessTampering，Sysmon 13+）检测内存镜像与磁盘镜像不一致，对应进程镂空；并结合事件 1（进程创建）串联完整攻击链。可将结果映射到 T1055.001/002/003/004/005/012/013/015 等子技术。配套 Splunk 与 KQL 查询及 Sigma 规则示例，输出字段涵盖主机、源/目标进程与 PID、注入类型、触发的 Sysmon 事件、访问掩码、风险级别和 ATT&CK 子技术编号。
必要用法：前提为部署 Sysmon 并启用事件 1、7、8、10、25，其中事件 10 需配置合适的访问掩码过滤，并接入 SIEM 做关联告警。检测流程为：监控事件 8，分析事件 10 的跨进程访问权限，检测事件 7 的异常 DLL 加载，狩猎事件 25 的进程篡改，关联事件 1 还原攻击链，过滤调试器、杀软、辅助功能工具、RMM 代理等已知正常的跨进程行为，最后归类到具体子技术。
适用场景：经典 DLL 注入（VirtualAllocEx + WriteProcessMemory + CreateRemoteThread）、进程镂空、APC 注入、反射式 DLL 注入、Process Doppelganging 等。
限制：APC 注入较难检测，需依赖事件 10 监控；反射式 DLL 注入不落盘，需内存级分析；部分技术需进程完整性检查或内存取证工具（如 PE-sieve、Moneta、Hollows Hunter、Volatility）。若未部署所需 Sysmon 事件或 SIEM，检测能力将受限。