正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用

攻撃の流れを見ると、VMwareの正規実行ファイルを起動すると「DLLサイドローディング」により、「SigLoader」である「vmtools.dll」がロードされ、さらに悪意ある「wiaky002_CNC1755D.dll」を読み込む。

「wiaky002_CNC1755D.dll」には「Windows 10」で利用される「pkeyhelper.dll」のファイルメタ情報やPDBファイル情報が含まれ、同ファイルが改ざんされたものと見られる。ただし、今回のケースについては、コード署名の有効期限が2019年7月27日に失効していた。

また「wiaky002_CNC1755D.dll」の起動後に生成される「c_apo_ipoib6x.dll」についても「Windows 10」で利用される「wintrust.dll」を改ざんして作成されたものと見られ、正規のコード署名が含まれる。

攻撃における最終的なペイロードとしては、外部のコマンド＆コントロールサーバと通信し、データを受信して実行する機能を備える「DelfsCake」「GreetCake」など3種類が確認された。これらペイロードがどのようなマルウェアを取得し、実行するかはわかっていない。分析を行ったラックでは情報収集を目的とした諜報活動の一環ではないかと見ている。

「SigLoader」による攻撃の流れ（図：ラック）

（Security NEXT - 2020/12/03 ） ツイート

PR

関連記事

6月の侵害は未知の手口、米子会社で別件インシデントも - 古野電気
【特別企画】脅威動向や実務者が身をもって学んだノウハウなど共有する年次イベント
「Cisco ASA」狙うゼロデイ攻撃、5月に複数政府機関で確認
メールセキュ製品「Libraesva ESG」に脆弱性 - すでに悪用も、国家関与か
子会社サイトが改ざん被害、外部サイトに誘導 - 福岡ひびき信金
監視カメラやNASを狙う「Mirai」感染活動を引き続き観測 - JPCERT/CC
「SonicWall SMA 100」にアップデート - 既知マルウェアの除去機能を追加
サイトが改ざん被害、オンラインカジノへ誘導 - 東京外大
「Ivanti EPMM」狙う脆弱性連鎖攻撃、米当局がマルウェアを解析
ランサム攻撃によりサーバやPCが被害 - 建設資材機械設備メーカー