VectoredOverloading

Vectored Overloading 是一种本地 PE 注入技术，最早在 KidKadi 恶意软件中被发现。

它通过使用硬件断点（HWBP）和向量化异常处理（VEH）操控合法 DLL 的加载过程，从而动态更改 DLL 段对象。

本质上，该技术执行以下操作：

• 从合法 DLL（例如 wmp.dll）创建一个 SEC_IMAGE 映射
• 将有效载荷 PE 映射到该镜像内存上
• 将其入口点设置为 0，并在 FileHeader->Characteristics 字段中强制设置 DLL 标志
• 在 NtOpenSection 上设置 HWBP，然后加载任意合法 DLL
• 当 Windows 加载器调用 NtOpenSection 时，VEH 通过跳过该 syscall 并替换 OUT 参数来模拟它，从而使该段对象变为有效载荷的段对象。同时，VEH 还会在 NtMapViewOfSection 上设置一个新的 HWBP
• 加载器尝试将段映射到内存中，然后在 NtMapViewOfSection 上触发 VEH
• VEH 替换 syscall 的 OUT 参数并跳过其执行，模拟恶意 PE 视图的映射
• 加载继续进行，Windows 加载器现在负责处理恶意 PE 镜像的导入和后续处理
• 入口点被调用，执行有效载荷

有关更详细的分析，请参阅我们的博文：