Camba0「TrendLabs(トレンドラボ)」では、自身の活動を隠ぺいさせる目的で正規のアプリケーションを悪用する「PoisonIvy」の検体を入手しました。用いた手法と異なり、「DLLプリロード攻撃(別名:バイナリの植え付け)」として知られる手法を利用します。DLLプリロード攻撃は、実行された正規アプリが同じフォルダに存在する正規ファイルの同名ファイルを読み込んでしまうことを狙ったものです。これにより、ユーザは正規アプリや無害な文章ファイルを開いたつもりでも、その裏で不正プログラムが実行されてしまいます。同じフォルダに自身のコピーを作成します。BKDR_POISON.BTA自身を自動的に読み込みます。起動するたびに自動実行されることとなります。Explorer(”iexplore.exe”)のプロセスに不正コードを組み込みます。組み込んだコードには、ファイアウォールを回避するバックドア活動が含まれています。エクスポートする関数の数が異なることも確認しています(図1参照)。インポートする関数だからと考えられます。DLLプリロード手法の利用について、別の事例でも確認しています。この検体は、日本からの検体調査ケースの中から確認されました。DLLファイル(「BKDR_POISON.DMI」として検出)が含まれていました。通常システムフォルダ内にあります。読み込まれてしまいます。これが発端となり、「BKDR_POISON.DMI」は、DLLファイルプリロードの手法を用いて活動を開始することになります。■なぜPoisonIvyはDLLプリロード攻撃を利用したのか「DLLプリロード」の手法を利用すること自体、目新しいことではありません。RAT「PlugX」が利用することで知られています。今回、この手法が同じく標的型攻撃で利用される「PoisonIvy」でも用いられていることに注目すべきです。RAT「PlugX」と「PoisonIvy」の緊密な関係が明らかに」について本ブログ上で報告しました。用いた標的型攻撃において、攻撃者は何らかの関連性があると結論付けています。活動は、この関連性の例とも言えます。DLLプリロード手法を適応させるために調整しているのかもしれません。DLLプリロードの手法を再利用するに至ったと考えられます。これは、検出を回避するために感染経路を変更したに過ぎません。トレンドマイクロのセキュリティ予測」において、従来の不正プログラムや脅威が少しずつ改良され、稀ではあるが、攻撃の実行・拡散方法の観点からより巧妙になる新しい脅威や攻撃が確認されるだろう、と予測しています。DLLプリロードの手法を取り入れた改良点は、この予測通りであったと言えるでしょう。C&Cサーバへのアクセスがブロックされます。「ファイルレピュテーション」技術により、「BKDR_POISON(PoisonIvy)」、「BKDR_PLUGX」(および「TROJ_PLUGX」(PlugX)を検出し、削除します。posts:チベット、再び標的型攻撃に利用される。