Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用

攻撃の流れを見ると、VMwareの正規実行ファイルを起動すると「DLLサイドローディング」により、「SigLoader」である「vmtools.dll」がロードされ、さらに悪意ある「wiaky002_CNC1755D.dll」を読み込む。

「wiaky002_CNC1755D.dll」には「Windows 10」で利用される「pkeyhelper.dll」のファイルメタ情報やPDBファイル情報が含まれ、同ファイルが改ざんされたものと見られる。ただし、今回のケースについては、コード署名の有効期限が2019年7月27日に失効していた。

また「wiaky002_CNC1755D.dll」の起動後に生成される「c_apo_ipoib6x.dll」についても「Windows 10」で利用される「wintrust.dll」を改ざんして作成されたものと見られ、正規のコード署名が含まれる。

攻撃における最終的なペイロードとしては、外部のコマンド&コントロールサーバと通信し、データを受信して実行する機能を備える「DelfsCake」「GreetCake」など3種類が確認された。これらペイロードがどのようなマルウェアを取得し、実行するかはわかっていない。分析を行ったラックでは情報収集を目的とした諜報活動の一環ではないかと見ている。

20201203_la_001.jpg
「SigLoader」による攻撃の流れ(図:ラック)

(Security NEXT - 2020/12/03 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

グローバル拠点のサイバーリスクを評価するサービス - 東京海上日動
顧客判断待たずに初動対応するSOCサービス - ログによるさかのぼり調査も
FFRI、先端技術分野の脅威分析やトレーニングなど新サービス
約3分の1の企業がIoTやOTでセキュリティ事故を経験
都、都内中小企業のセキュ対策経費に助成金 - VPNも対象
重要インフラ事業者へランサムウェアについて注意喚起 - NISC
【特別企画】予算や人材不足の中小企業でもあきらめない! - マルウェア被害の縮小化
コロナ禍2度目のGW、セキュ対策を再確認 - 感染時リスクも想定を
「Pulse Connect Secure」のゼロデイ攻撃に中国支援組織が関与か - FireEye指摘
ランサムウェア「Cring」、脆弱VPN機器を標的 - 制御システムが停止する被害も