VectoredOverloading

Vectored Overloading은 KidKadi 악성코드에서 처음 발견된 로컬 PE 인젝션 기술입니다.

이 기술은 하드웨어 중단점(HWBP)과 벡터 예외 처리(VEH)를 사용하여 합법적인 DLL의 로딩을 조작하고, DLL 섹션 객체를 실시간으로 변경하는 방식으로 작동합니다.

기본적으로 이 기술은 다음을 수행합니다:

• 합법적인 DLL(예: wmp.dll)에서 SEC_IMAGE 매핑을 생성합니다.
• 이 이미지 메모리 위에 페이로드 PE를 매핑합니다.
• 엔트리포인트를 0으로 설정하고 FileHeader->Characteristics 필드에서 DLL 플래그를 강제합니다.
• NtOpenSection에 HWBP를 설정하고 합법적인 DLL을 로드합니다.
• Windows 로더가 NtOpenSection을 호출하면 VEH가 해당 시스템 호출을 건너뛰고 OUT 매개변수를 대체하여 시스템 호출을 에뮬레이트하므로 섹션 객체가 이제 페이로드의 것으로 바뀝니다. VEH는 또한 NtMapViewOfSection에 새로운 HWBP를 설정합니다.
• 로더가 섹션을 메모리에 매핑하려고 시도하면 NtMapViewOfSection에서 VEH가 트리거됩니다.
• VEH가 시스템 호출의 OUT 매개변수를 대체하고 실행을 건너뛰어 악성 PE 뷰의 매핑을 에뮬레이트합니다.
• 로딩이 진행되고 Windows 로더가 이제 악성 PE 이미지의 임포트 처리 및 추가 처리를 담당합니다.
• 엔트리포인트가 호출되어 페이로드가 실행됩니다.

더 자세한 분석은 블로그 게시물을 참조하십시오: