VirtualAllocEx è un'API di Windows che riserva o esegue il commit della memoria in un altro processo. Invece di allocare memoria solo nel programma corrente, prende di mira un handle di un processo remoto, il che la rende utile per attività tra processi e anche attraente per gli aggressori. In pratica, è spesso parte di una catena di code injection: un processo alloca spazio in un bersaglio, vi scrive i dati del payload e poi organizza l'esecuzione di quel codice.
Questo è importante perché gli strumenti di sicurezza spesso monitorano l'allocazione di memoria remota come segnale di injection di processo. Una chiamata a VirtualAllocEx non è automaticamente dannosa, ma diventa sospetta quando proviene da una coppia padre-figlio inattesa, è seguita da scritture remote o dalla creazione di thread, oppure è associata a modifiche insolite della protezione della memoria. I difensori usano questo segnale per le rilevazioni EDR, il baselining e il triage degli incidenti, mentre gli aggressori possono cercare di evitarlo usando percorsi di delivery alternativi che si confondono con il normale comportamento di Windows.