Door Anoniem: Didier, de shellcode krijgt dezelfde rechten als de gebruiker van de parent applicatie. Waarom de shellcode niet werken als je een beperkte gebruiker bent i.p.v. een administrator? Neem Acrobat Reader. Veronderstel dat die draait met een restricted token (geen privileges, behalve 1 noodzakelijke privilege; geen member meer van de Local Admin groep of de Power Users groep). De shellcode zal ook uitgevoerd worden met deze restricted token. Doorsnee shellcode doet dit: 1) downloaden trojan: werkt nog altijd, ook met restricted token 2) wegschrijven trojan naar SYSTEM32: werkt niet meer, maar de shellcode houdt hiermee geen rekening 3) shellcode draait verder en start een bestand dat niet bestaat in SYSTEM32: geen infectie 4) shellcode stopt ermee, bv. met een RET, meestal zal Adobe Reader hier crashen De meeste malware ontwikkelaars bezitten de kennis niet om shellcode te schrijven. Ze hergebruiken bestaande shellcode, die meestal naar SYSTEM32 schrijft. En shellcode is meestal simpel omdat ...