【要点】
◎PDFSIDERは正規署名EXEとDLLサイドローディングを悪用し、暗号化C2通信とインメモリ実行でAV/EDRを回避する、諜報寄りのステルス型バックドアである (Resecurity)
【訳】
PDFSIDERマルウェア - ウイルス対策ソフトおよびEDR回避のためのDLLサイドローディングの悪用
【図表】
【要約】
PDFSIDERは、正規署名されたPDF24 Creatorを悪用したDLLサイドローディングにより配布される新種マルウェアで、偽のcryptbase.dllを読み込ませることでEDRを回避する。主にメモリ内で動作し、ディスク痕跡を残さずにリモートコマンド実行を提供する点が特徴だ。C2通信にはBotanライブラリを用いたAES-256-GCM暗号化を採用し、通信内容はすべてインメモリで復号される。RAM容量チェックやデバッガー検知などの仮想環境回避機構も備え、長期潜伏と秘匿通信を可能にする。Resecurityは本マルウェアを、大規模拡散ではなく標的型諜報攻撃向けの高度なバックドアと評価している。
【ブログ】
◆PDFSIDER Malware - Exploitation of DLL Side-Loading for AV and EDR Evasion (Resecurity, 2026/01/18)
[PDFSIDERマルウェア - ウイルス対策ソフトおよびEDR回避のためのDLLサイドローディングの悪用]PDFSIDER malware, DLL side-loading, AES-256-GCM encrypted C2, In-memory backdoor, Anti-VM sandbox evasion
[PDFSIDERマルウェア、DLLサイドローディング、AES-256-GCM暗号化C2、メモリ内バックドア、仮想マシンサンドボックス回避]
