Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用

正規のコード署名を含む悪意あるライブラリファイルを用いた攻撃「SigLoader」が確認された。標的型攻撃に用いられたもので、セキュリティ製品で検知できないおそれがあり、警戒が必要だ。

正規の実行ファイルから、悪意あるライブラリファイルを読み込ませるいわゆる「DLLサイドローディング」による攻撃だが、攻撃の過程で利用された悪意ある複数のライブラリファイルには、マイクロソフトのコード署名が含まれていた。

ラックが「SSL-VPN」製品の脆弱性を悪用した侵害事故を調査する過程で発見。2020年7月ごろより悪用が見られるという。「Signature」が付与されたファイルを読み込んで悪用することや、検体内に文字列「Sig」がハードコードされていたことから、同社では今回の攻撃を「SigLoader」と命名した。

通常、コード署名によってファイルの改ざんを検知することが可能。しかし今回の攻撃では、Windowsにおいてハッシュ値の計算時に対象範囲外とされる「証明書テーブル(Certificate Table)」のサイズを拡張し、テーブル内のデータを変更することでファイルの改ざんを行っていた。コード署名による検証が回避され、セキュリティ対策製品でも検知できない可能性がある。

(Security NEXT - 2020/12/03 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

同業者装いセキュ研究者に忍び寄るサイバー攻撃者 - 解析情報にワナも
登録セキスペ講習、民間など23講習を追加
「ClamAV」にセキュリティアップデート - 脆弱性4件を修正
クラウドのワークロード向け「Carbon Black」に深刻な脆弱性
米政府、「Exchange脆弱性」対策で追加指令 - スキャンや対策強化など要請
三菱電機への不正アクセス、中国子会社での窃取情報を起点に攻撃展開
【特別企画】予算や人材不足の中小企業でもあきらめない! - マルウェア被害の縮小化
4社に3社が直近1年にインシデントを経験 - JIPDEC調査
米政府、マルウェア「TrickBot」展開する標的型攻撃で注意喚起
MS、「Exchange脆弱性」の影響を緩和する簡易ツールを公開 - 未修正なら活用を