【図表】
「SigLoader」による攻撃の流れ
出典: https://www.security-next.com/121275/3
【概要】
■概要
- 2020年7月ごろより悪用が見られる
- Signatureが付与されたファイルを読み込んで悪用
- 検体内に文字列「Sig」がハードコード
■攻撃手法
- Windowsにおいてハッシュ値の計算時に対象範囲外とされる「証明書テーブル（Certificate Table）」のサイズを拡張
- テーブル内のデータを変更
- VMwareの正規実行ファイルを起動すると「DLLサイドローディング」により、「SigLoader」である「vmtools.dll」がロードされる
- 悪意ある「wiaky002_CNC1755D.dll」を読み込む
【ニュース】
◆正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用 (Security NEXT, 2020/12/03)
https://www.security-next.com/121275
【関連まとめ記事】
◆全体まとめ
◆マルウェア / Malware (まとめ)
◆標的型攻撃マルウェア (まとめ)
◆SigLoader (まとめ)
https://malware-log.hatenablog.com/entry/SigLoader
