正規署名付きEXE
        │
        ├─ 本物なので単体では安全に見える
        │
        ▼
同じフォルダのDLLを読み込む
        │
        ▼
悪意のあるDLLが実行される

つまり、次の判断は危険です。

デジタル署名が正常
    ＝
そのプロセスの動作も安全

MITRE ATT&CKでは、DLLサイドローディングをT1574.001として整理しています。攻撃者は正規アプリケーションと悪性DLLを同じ場所に置くことで、信頼されたプロセスの内部でマルウェアを実行します。暗号化された追加ペイロードと組み合わせることで、静的解析やファイル単体の検査も回避しやすくなります。

JadeProxで確認されたサーバー攻撃

JadeProxは、Windows端末だけを狙う攻撃ではありません。

Group-IBの調査では、攻撃者は香港の教育機関に関連する14,653件のURLをNucleiへ投入し、Critical判定の脆弱性を持つシステムを大量探索していました。

ベトナムの公立病院では、インターネットからアクセスできるJava Management Extensionsの経路を悪用し、Webシェルとsuo5を使って医療画像管理システムであるPACSへ接続していました。

また、マレーシア外務省に対しては、Neo-reGeorgやリバースシェルを使った侵入が試みられていました。