VectoredOverloading

Vectored Overloading は、KidKadi マルウェアで最初に観察されたローカル PE インジェクション技術です。

これは、ハードウェアブレークポイント（HWBP）とベクタード例外処理（VEH）を使用して正規 DLL のロードを操作し、DLL セクションオブジェクトをオンザフライで変更することによって機能します。

基本的に、この技術は次のことを行います：

• 正規 DLL（例：wmp.dll）から SEC_IMAGE マッピングを作成します。
• このイメージメモリ上にペイロード PE をマップします。
• そのエントリポイントを 0 に設定し、FileHeader->Characteristics フィールドの DLL フラグを強制します。
• NtOpenSection に HWBP を設定し、任意の正規 DLL をロードします。
• Windows ローダーが NtOpenSection を呼び出すと、VEH はシステムコールをスキップして OUT パラメータを置き換えることでエミュレートし、セクションオブジェクトがペイロードのものになります。また、VEH は NtMapViewOfSection にも新しい HWBP を設定します。
• ローダーはセクションをメモリにマップしようとし、その後 NtMapViewOfSection で VEH をトリガーします。
• VEH はシステムコールの OUT パラメータを置き換えてその実行をスキップし、悪意のある PE のビューのマッピングをエミュレートします。
• ロードが進行し、Windows ローダーがインポートの処理と悪意のある PE イメージのさらなる処理を担当します。
• エントリポイントが呼び出され、ペイロードが実行されます。

より詳細な分析については、当社のブログ記事を参照してください：