TT Malware Log

マルウェア / サイバー攻撃 / 解析技術 に関する「個人」の調査・研究・参照ログ

正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用

【図表】

f:id:tanigawa:20210123042256j:plain
「SigLoader」による攻撃の流れ
出典: https://www.security-next.com/121275/3


【概要】

■概要

  • 2020年7月ごろより悪用が見られる
  • Signatureが付与されたファイルを読み込んで悪用
  • 検体内に文字列「Sig」がハードコード


■攻撃手法

  • Windowsにおいてハッシュ値の計算時に対象範囲外とされる「証明書テーブル(Certificate Table)」のサイズを拡張
  • テーブル内のデータを変更
  • VMwareの正規実行ファイルを起動すると「DLLサイドローディング」により、「SigLoader」である「vmtools.dll」がロードされる
  • 悪意ある「wiaky002_CNC1755D.dll」を読み込む


【ニュース】

◆正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用 (Security NEXT, 2020/12/03)
https://www.security-next.com/121275


【関連まとめ記事】

全体まとめ
 ◆マルウェア / Malware (まとめ)
  ◆標的型攻撃マルウェア (まとめ)

◆SigLoader (まとめ)
https://malware-log.hatenablog.com/entry/SigLoader


Copyright (C) 谷川哲司 (Tetsuji Tanigawa) 1997 - 2020