ダークウェブで販売されている正当なデジタル署名証明書

Mac や Windows を狙ったマルウェア攻撃に関するニュースは、今日のインターネット ユーザーにとって決して新しいものではありません。さらに悪いことに、ブート ウイルス、不正な添付ファイル、マクロ ウイルスなどの亜種がすでに脚光を浴びています。すべてがマルウェアに始まり、マルウェアに終わると考えるなら、それは間違いです。これは、これから起こることの兆候にすぎません。これは警鐘と考えてください。

Cyber​​ Security Research Institute (CSRI) が実施した最近の調査では、デジタル コード署名証明書がどのように危険にさらされているかが明らかになりました。 Stuxnet ワームはこの種の最初のもので、2005 年にイランの核濃縮プロセスを侵害するために使用されました。デジタル コード署名証明書の悪用の最近の例は、CCleaner に対する攻撃でした。

デジタル コード署名証明書:

デジタル証明書は、個人または企業に ID を提供する ID カードのようなものです。信頼できる認証局 (CA) によって発行されます。

img src:SSL.org

認証機関はデジタル証明書を発行して、所有者の身元と権限を承認します。公開鍵は、他の識別情報とともに、個人または企業に発行される各デジタル証明書に埋め込まれています。これらの証明書は暗号で署名され、データの整合性を認証し、その使用を検証します。

デジタル証明書を持つコンピュータ アプリケーションまたはソフトウェアは、コンピュータによって信頼され、警告メッセージなしでプログラムの実行を許可します。

デジタル証明書はどのように危険にさらされていますか?

正当に署名されたデジタル証明書は、Dark Web で最大 1,200 ドル (証明書あたり) で販売されています。ハッカーはこれらの証明書を使用して、悪意のあるコードを信頼できるソフトウェア ベンダーにリンクし、マルウェアが検出されるリスクを軽減します。したがって、標的のネットワークとユーザーのマシン セキュリティを簡単に回避できます。

心配する必要がありますか?

メリーランド大学カレッジパーク校、Doowon Kim、BumJun Kwon、Tudor Dumitras のセキュリティ研究者チームは、デジタル署名されたマルウェアが蔓延していることを発見しました。合計 325 の署名付きマルウェア サンプルがすでに発見されています。そのうち 189 件が有効なデジタル署名を持っています。

「このような不正な署名は敵にとって便利です。Authenticode 署名を正当なサンプルから署名されていないマルウェア サンプルにコピーするだけで、マルウェアが AV 検出をバイパスするのに役立つ可能性があることがわかりました。」

侵害されたこれらの証明書のうち 27 は既に取り消されていますが、現時点では残りの 84 の証明書は取り消されるまでシステムによって信頼されています。

「マルウェア ファミリの大部分 (88.8%) が単一の証明書に依存しています。これは、不正な証明書のほとんどが、サード パーティではなく、マルウェアの作成者によって管理されていることを示唆しています」メリーランド大学、カレッジパーク)

ソース:thehackernews.com

証明書が取り消された後でも、研究者は、サイバー犯罪者が証明書の悪用をすぐに止められないことを発見しました.一部のウイルス対策プログラムは、失効した証明書の悪意のあるプログラムを認識できないためです。つまり、悪意のあるコードは何の障害もなくシステム上で実行されます。

ハッカーは、Microsoft が署名した有効な Windows システム ファイルまたは Microsoft Office ファイルに悪意のあるコードを簡単に追加できます。そのため、Microsoft によって署名されたファイルがセキュリティ プログラムのホワイトリストに追加されるため、セキュリティ アプリケーションから隠されます。これは、重要なシステム ファイルの削除やシステム クラッシュの原因となる誤検出を回避するために行われます。
保護を維持するにはどうすればよいですか?

• オペレーティング システムとブラウザを常に最新の状態に保つ
• ルート証明書ゾーンに新しい CA を追加しないでください。
• 不明な開発者によって配信されたファイルのダウンロードをブロックします。
• 信頼できる証明書を常に追跡する。
• エンドポイント セキュリティ ソリューションをインストールする

「デジタル署名されたマルウェアは、有効な署名を持つプログラムのみをインストールまたは起動するシステム保護メカニズムをバイパスできます。」 紙を読む 「認定マルウェア:Windows コード署名 PKI における信頼の侵害の測定」

これは確かに深刻な問題です。ハッカーが有効な証明書にアクセスできるということは、何も安全ではないということです。ウイルス対策プログラムとして、システムはこれらの脅威を特定できません。ウイルス対策プログラムを簡単に回避できるようになりました。

攻撃者によって悪用された証明書のリストは、signedmalware.org で確認できます。