Update malware-tech_ref_and_memo.md

malware-tech_ref_and_memo.md

@@ -327,6 +327,15 @@ New-Object System.IO.Compression.DeflateStream([iO.mEmoRySTream] [sysTEM.ConVert
         - レジスタにAPIのアドレスをsetして，jmpしてAPIを呼び出し
         - スタックにAPIのアドレスをsetして，retでAPIを呼び出し
 
+## Poisoning CRT
+- C/C++ランタイムライブラリに悪性コードを注入，特定のランタイム関数の改ざん
+  - 改ざんされた事例があるランタイム関数
+    - __crtExitProcess():プロセスの終了。管理アプリケーションか否かのチェック
+    - __scrt_common_man_seh():cランタイムライブラリ_mainCRTStartupのEntryPoint
+    - _security_init_cookie():セキュリティチェックを行う関数。バッファオバーフローを防ぐ
+    - _initterm():関数ぽインターテーブルのエントリー呼び出し
+- コンパイラレベルで改ざんされるため，サプライチェーン攻撃として利用されることがある
+
 # Persistence
 ## Registry
 - 利用されるWin32API