正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用

正規のコード署名を含む悪意あるライブラリファイルを用いた攻撃「SigLoader」が確認された。標的型攻撃に用いられたもので、セキュリティ製品で検知できないおそれがあり、警戒が必要だ。

正規の実行ファイルから、悪意あるライブラリファイルを読み込ませるいわゆる「DLLサイドローディング」による攻撃だが、攻撃の過程で利用された悪意ある複数のライブラリファイルには、マイクロソフトのコード署名が含まれていた。

ラックが「SSL-VPN」製品の脆弱性を悪用した侵害事故を調査する過程で発見。2020年7月ごろより悪用が見られるという。「Signature」が付与されたファイルを読み込んで悪用することや、検体内に文字列「Sig」がハードコードされていたことから、同社では今回の攻撃を「SigLoader」と命名した。

通常、コード署名によってファイルの改ざんを検知することが可能。しかし今回の攻撃では、Windowsにおいてハッシュ値の計算時に対象範囲外とされる「証明書テーブル（Certificate Table）」のサイズを拡張し、テーブル内のデータを変更することでファイルの改ざんを行っていた。コード署名による検証が回避され、セキュリティ対策製品でも検知できない可能性がある。

（Security NEXT - 2020/12/03 ） ツイート

PR

関連記事

「Cisco ASA」狙うゼロデイ攻撃、5月に複数政府機関で確認
メールセキュ製品「Libraesva ESG」に脆弱性 - すでに悪用も、国家関与か
子会社サイトが改ざん被害、外部サイトに誘導 - 福岡ひびき信金
監視カメラやNASを狙う「Mirai」感染活動を引き続き観測 - JPCERT/CC
「SonicWall SMA 100」にアップデート - 既知マルウェアの除去機能を追加
サイトが改ざん被害、オンラインカジノへ誘導 - 東京外大
「Ivanti EPMM」狙う脆弱性連鎖攻撃、米当局がマルウェアを解析
ランサム攻撃によりサーバやPCが被害 - 建設資材機械設備メーカー
メアドが不正利用、スパムの踏み台に - 名古屋産業振興公社
ランサム攻撃でサーバやPC30台が被害 - 清掃用品メーカー