Rust 中的 VectoredOverloading 加载一个合法的 DLL 文件，并利用向量化异常处理机制，将动态替换为恶意

总结：

这个概念验证程序来自 YouTube Ghost Network，这是一个恶意软件分发网络，它利用被盗用的帐户来推广恶意视频和传播恶意软件，例如信息窃取程序。

Checkpoint Research：https://research.checkpoint.com/2025/gachiloader-node-js-malware-with-api-tracing/ 记录并破解了此次攻击活动，发现 GachiLoader 的一个变种会部署名为 Kidkadi 的第二阶段恶意软件，该软件采用了一种新颖的可移植可执行文件 (PE) 注入技术。这项技术会加载一个合法的 DLL 文件，并利用向量化异常处理机制，将其动态替换为恶意载荷。

这是在 Rust 中实现 Kidkadi（又名 VectoredOverloading）的概念验证。

它通过使用硬件断点 (HWBP) 和向量化异常处理 (VEH) 来操纵合法 DLL 的加载，从而动态地更改 DLL 节对象。

本质上，该技术执行以下操作：

• SEC_IMAGE从合法的 DLL创建映射（例如wmp.dll）

• 将有效载荷 PE 映射到此映像内存上

• 将其入口点设置为0并强制字段DLL中的标志FileHeader->Characteristics

• 设置硬件保护程序 (HWBP)NtOpenSection并加载任何合法的 DLL 文件。

• 当 Windows 加载器调用时NtOpenSection，VEH 会模拟该系统调用，跳过它并替换OUT参数，从而使该节对象变为有效载荷的节对象。VEH 还会设置一个新的 HWBP。NtMapViewOfSection

• 装载机尝试将该部分映射到内存中，然后触发车辆。NtMapViewOfSection

• VEH 会替换OUT系统调用的参数并跳过其执行，从而模拟恶意 PE 视图的映射。

• 加载过程继续进行，Windows 加载程序现在负责处理恶意 PE 映像的导入和后续处理。

• 入口点被调用，执行有效载荷。

鸣谢及参考文献：

• https://github.com/CheckPointSW/VectoredOverloading/tree/main

• https://research.checkpoint.com/2025/gachiloader-node-js-malware-with-api-tracing/