操作系统凭证转储: 反射型DLL注入式凭证捕获

反射型DLL注入式凭证捕获（Reflective DLL Injection Credential Harvesting）是一种规避传统进程监控的高级凭证窃取技术。该技术通过自加载反射型DLL模块，在不依赖系统加载器的情况下直接将恶意代码注入目标进程内存空间，通过Hook身份验证相关API函数实时捕获输入凭证。其核心在于利用内存反射加载机制规避杀毒软件对磁盘文件的静态扫描，并通过动态代码加密技术破坏行为特征的可识别性。

该技术的隐蔽性体现在代码加载机制的创新与行为特征的动态伪装。反射型注入不需要将DLL文件写入磁盘或注册表，而是通过进程内存直接映射执行代码，消除传统DLL注入的文件特征。注入过程中采用分阶段载荷解密技术，仅在内存中保留当前执行所需的代码片段，其余部分保持加密状态。凭证捕获阶段通过劫持GINA/SSP接口或Keychain服务，在系统正常认证流程中同步截获凭证数据，使恶意行为与合法操作产生时序重叠。为规避行为分析，注入代码会模拟合法模块的内存访问模式，通过控制API调用频次和参数结构保持与系统基准行为的一致性。