WriteProcessMemory è un'API di Windows che scrive dati nello spazio degli indirizzi di un altro processo. Viene comunemente usata da software legittimo per attività di automazione, debug o gestione, ma è anche un classico indicatore di process injection, perché un attaccante può inserire shellcode, patch o dati di configurazione in un processo remoto.
Nella sicurezza informatica, questa API è importante perché molte regole di EDR e di rilevamento la osservano come parte di una catena più ampia che include creazione di processi, allocazione di memoria remota, creazione di thread e uso dei privilegi. Se un avversario riesce a evitare WriteProcessMemory, i difensori potrebbero dover fare affidamento su altri segnali, come pipe sospette, accesso agli handle, modifiche della protezione della memoria o comunicazioni interprocesso inattese. La lezione chiave è che attività pericolose possono comunque verificarsi anche quando questa specifica API non compare mai nella telemetria.