VectoredOverloading

Vectored Overloading — это локальная техника внедрения PE, впервые обнаруженная в вредоносном ПО KidKadi.

Она работает путём манипулирования загрузкой легитимной DLL с использованием аппаратных точек останова (HWBP) и векторизованной обработки исключений (VEH) для изменения объекта секции DLL на лету.

По сути, техника делает следующее:

• Создаёт отображение SEC_IMAGE из легитимной DLL (например, wmp.dll)
• Отображает полезную нагрузку PE поверх этой области памяти образа
• Устанавливает её точку входа в 0 и принудительно задаёт флаг DLL в поле FileHeader->Characteristics
• Устанавливает HWBP на NtOpenSection и загружает любую легитимную DLL
• Когда загрузчик Windows вызывает NtOpenSection, VEH эмулирует системный вызов, пропуская его и подменяя выходные параметры (OUT), так что объектом секции теперь становится секция полезной нагрузки. VEH также устанавливает новый HWBP на NtMapViewOfSection
• Загрузчик пытается отобразить секцию в память и затем срабатывает VEH на NtMapViewOfSection
• VEH подменяет выходные параметры (OUT) системного вызова и пропускает его выполнение, эмулируя отображение представления вредоносного PE
• Загрузка продолжается, и загрузчик Windows теперь берёт на себя обработку импортов и дальнейшую обработку образа вредоносного PE
• Вызывается точка входа, и полезная нагрузка выполняется

Более подробный анализ см. в нашем посте в блоге: