Process Doppelgänging

loader.exe -f payload.exe

Executa um payload criando uma seção transacional (TxF) sobre um arquivo legítimo: o processo inicia a partir da imagem modificada em memória, sem tocar no disco.

Execute quando o AV escaneia binários on-access e você quer executar um PE que não existe em disco. Process Doppelgänging usa NTFS Transacional: você abre uma transação sobre um arquivo legítimo (notepad.exe), cria uma seção com a versão modificada e lança o processo a partir dessa seção. O arquivo original permanece intacto.

TxF está obsoleto desde o Windows 10 e desabilitado em muitos sistemas: se a API falhar, o loader quebra. EDRs modernos detectam o padrão de processo criado a partir de seção transacional. No Windows 11, é cada vez mais difícil encontrar um volume com TxF ativo.