VectoredOverloading

Vectored Overloading est une technique d'injection PE locale qui a été observée pour la première fois dans le malware KidKadi.

Elle fonctionne en manipulant le chargement d'une DLL légitime à l'aide de points d'arrêt matériels (HWBP) et de la gestion des exceptions vectorisées (VEH) pour modifier l'objet de section DLL à la volée.

Essentiellement, la technique effectue les opérations suivantes :

• Crée un mappage SEC_IMAGE à partir d'une DLL légitime (par exemple wmp.dll)
• Mappe un PE de charge utile sur cette mémoire d'image
• Définit son point d'entrée à 0 et force le flag DLL dans le champ FileHeader->Characteristics
• Définit un HWBP sur NtOpenSection et charge une DLL légitime quelconque
• Lorsque le chargeur Windows appelle NtOpenSection, le VEH émule l'appel système en le sautant et en remplaçant les paramètres OUT, de sorte que l'objet de section est maintenant celui de la charge utile. Le VEH définit également un nouveau HWBP sur NtMapViewOfSection
• Le chargeur tente de mapper la section en mémoire puis déclenche le VEH sur NtMapViewOfSection
• Le VEH remplace les paramètres OUT de l'appel système et saute son exécution, émulant un mappage de la vue du PE malveillant
• Le chargement se poursuit et le chargeur Windows s'occupe désormais de gérer les imports et le traitement ultérieur de l'image PE malveillante
• Le point d'entrée est invoqué, exécutant la charge utile

Pour une analyse plus détaillée, veuillez vous référer à notre article de blog :