v3によるURLパスの模倣の使用を示しています。この戦術は、SAIGONを含むUrsnifの他の亜種では見られません。現在、SAIGONがUrsnifマルウェア・エコシステムにおいて、幅広い進化を示しているかどうかは不明です。v3の一時的なブランチであることを示している可能性があります。SAIGONの機能は、典型的なバンキング・マルウェアと異なり、標的型の侵入攻撃のサポートに適していると考えられます。この推測は、POSへの攻撃で使用されるツールのホスト・サーバー上でSAIGONを事前に確認したことと、FIN8が以前に使用したツールと共に、侵害されたサービス組織のネットワーク上に出現したマルウェアに関するVISAの最近の通知からも裏付けられます。Wykeに感謝します。付録A:サンプル以下は埋め込みの設定を含むサンプルです。key付録C:シェルコード・コンバーターのスクリプト以下のPythonスクリプトは、このマルウェアの解析を容易にすることを目的に作成されました。このスクリプトは、PEローダーを削除し、PEヘッダーを復元することによって、SAIGONシェルコードを元のDLL形式に戻します。これらの変更により、SAIGONシェルコードの解析が大幅にシンプルになります(たとえば、IDAにファイルをロードできるようになります)。マルウェアがプロセスのインジェクションを実行する段階でPEローダー(現在は削除済み)を利用するため、デバッガで実行すると、作成されたDLLはクラッシュしたままになります。この変換プロセスの後、サンプルはサイズが小さく、難読化されていないため、比較的簡単に解析できます。Fork」(英語)の日本語抄訳版です。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。