Trusted Design

T1009 - Binary Padding

概要

Adversaries can use binary padding to add junk data and change the on-disk representation of malware without affecting the functionality or behavior of the binary. This will often increase the size of the binary beyond what some security tools are capable of handling due to file size limitations.

Binary padding effectively changes the checksum of the file and can also be used to avoid hash-based blacklists and static anti-virus signatures.(Citation: ESET OceanLotus) The padding used is commonly generated by a function to create junk data and then appended to the end or applied to sections of malware.(Citation: Securelist Malware Tricks April 2017) Increasing the file size may decrease the effectiveness of certain tools and detection capabilities that are not designed or configured to scan large files. This may also reduce the likelihood of being collected for analysis. Public file scanning services, such as VirusTotal, limits the maximum size of an uploaded file to be analyzed.(Citation: VirusTotal FAQ)

管理者によるコメント

T1009（Binary Padding：バイナリパディング）は、攻撃者が自身の作成したマルウェアやツールに「無意味なデータ」を付け加え、ファイルサイズを意図的に大きくする技術です。

1. 概要

Binary Paddingとは、実行ファイル（バイナリ）の末尾や特定のセクションに、大量のヌルバイト（0x00）やランダムなデータを挿入する手法です。

攻撃者が実現できること

2. 攻撃の流れ

  1. マルウェアの作成: 攻撃者はまず、目的を達成するための小さな実行ファイルを作成します。
  2. パディングの追加: ツールを使用して、ファイルの末尾に数百MB〜数GBの無意味なデータを追加します。
    • 例：cat payload.exe /dev/zero -n 104857600 > padded_payload.exe (100MB追加)
  3. 配信: 巨大化したファイルをターゲットに送信、またはダウンロードさせます。
  4. 実行: パディングデータは実行には影響しないため、OSは通常通りコード部分のみを読み取って実行します。

3. 防御・対策

4. 重要ポイント

5. 関連する主なCWE

6. 関連する代表的なCVE

特定のCVE番号はありません。以下のような攻撃キャンペーンで頻繁に観測されます。

分析

この攻撃手法を利用する脅威アクター

関連する CVE

攻撃手法 – 脅威アクター Graph

← Technique一覧に戻る ← Tactics一覧に戻る