正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用

正規のコード署名を含む悪意あるライブラリファイルを用いた攻撃「SigLoader」が確認された。標的型攻撃に用いられたもので、セキュリティ製品で検知できないおそれがあり、警戒が必要だ。

正規の実行ファイルから、悪意あるライブラリファイルを読み込ませるいわゆる「DLLサイドローディング」による攻撃だが、攻撃の過程で利用された悪意ある複数のライブラリファイルには、マイクロソフトのコード署名が含まれていた。

ラックが「SSL-VPN」製品の脆弱性を悪用した侵害事故を調査する過程で発見。2020年7月ごろより悪用が見られるという。「Signature」が付与されたファイルを読み込んで悪用することや、検体内に文字列「Sig」がハードコードされていたことから、同社では今回の攻撃を「SigLoader」と命名した。

通常、コード署名によってファイルの改ざんを検知することが可能。しかし今回の攻撃では、Windowsにおいてハッシュ値の計算時に対象範囲外とされる「証明書テーブル（Certificate Table）」のサイズを拡張し、テーブル内のデータを変更することでファイルの改ざんを行っていた。コード署名による検証が回避され、セキュリティ対策製品でも検知できない可能性がある。

（Security NEXT - 2020/12/03 ） ツイート

PR

関連記事

「サポート詐欺」の相談が3割増 - 過去最多を更新
「CrowdStrike」装う「フィッシング」や「偽修復ツール」に警戒を
「JSAC2025」は2025年1月に都内で開催 - CFPを開始
サイトが改ざん被害、情報流出は否定 - 秋田県立医療療育センター
先週注目された記事（2024年7月7日〜2024年7月13日）
JAXAに不正アクセス - 攻撃起点はVPN、未知マルウェアも
髙野総合Gへのランサム攻撃 - 通信機器の設定ミスに起因か
端末49台がマルウェア感染、ランサムと異なる手法 - 富士通
「Hyper-V」や「HFS」など脆弱性3件の悪用に注意喚起 - 米政府
ウェブサイトが改ざん被害 - 徳島県の病院