You find API calls to 'CreateRemoteThread' and 'VirtualAllocEx' in a malware sample. What behavior might this indicate?

Đáp án đúng: "Process injection". VirtualAllocEx cấp phát vùng nhớ bên trong một tiến trình khác, thường kèm WriteProcessMemory để chép mã độc vào đó, rồi CreateRemoteThread tạo luồng mới trong tiến trình đích chạy từ vùng nhớ vừa chép; đây là bộ ba kinh điển của tiêm mã vào tiến trình (process injection), giúp mã độc chạy dưới danh nghĩa tiến trình hợp pháp như explorer.exe để né phát hiện. "Basic file access" dùng các API như CreateFile, ReadFile, WriteFile, không cần cấp phát nhớ ở tiến trình khác. "DNS hijacking" là chuyển hướng phân giải tên miền, thường bằng cách sửa tệp hosts hoặc cấu hình máy chủ DNS. "Port scanning" dùng socket và connect lần lượt tới các cổng, không liên quan tới tiến trình khác.