ابزار rundll32.exe به طور طبیعی برای اجرای توابع موجود در فایلهای DLL طراحی شده است و همیشه نیاز به آرگومان (نام DLL و نام تابع) دارد. اجرای این فایل بدون هیچ آرگومانی در خط فرمان، یک رفتار بسیار مشکوک و غیرطبیعی است. این تصویر نشان میدهد که چگونه Rundll32 به طور معمول فراخوانی میشود.
بدافزارها (به ویژه ابزارهایی مثل Cobalt Strike) این پردازش را اجرا میکنند تا بلافاصله کد مخرب خود را درون آن تزریق کنند (Process Hollowing). این کار برای پنهان شدن در پسزمینه یک پروسه قانونی ویندوز انجام میشود.
rundll32.exe بدون آرگومان به عنوان ظرفی برای اجرای Payload خود استفاده میکند.rundll32.exe خالی را صادر کرده است.برای تشخیص واقعی بودن تهدید، باید "زنجیره اجرا" را بررسی کنید:
rundll32.exe بدون آرگومان اجرا شود و بلافاصله شروع به برقراری ارتباط شبکهای با اینترنت کند.cmd.exe را اجرا کرده است؟