Penjahat dunia maya menyalahgunakan platform penandatanganan tepercaya Microsoft untuk executable malware penandatanganan kode dengan sertifikat tiga hari berumur pendek.
Aktor ancaman telah lama mencari sertifikat penandatanganan kode karena dapat digunakan untuk menandatangani malware agar terlihat seperti dari perusahaan yang sah.
Malware yang ditandatangani juga memiliki keuntungan yang berpotensi melewati filter keamanan yang biasanya akan memblokir eksekusi yang tidak ditandatangani, atau setidaknya memperlakukan mereka dengan lebih sedikit kecurigaan.
Para aktor Holy Grail for Ancaman adalah untuk mendapatkan sertifikat penandatanganan kode validasi (EV) yang diperluas, karena mereka secara otomatis mendapatkan peningkatan kepercayaan dari banyak program keamanan siber karena proses verifikasi yang lebih ketat. Yang lebih penting lagi, sertifikat EV diyakini mendapatkan dorongan reputasi di layar pintar, membantu melewati peringatan yang biasanya akan ditampilkan untuk file yang tidak dikenal.
Namun, sertifikat penyisiran kode EV mungkin sulit diperoleh, mengharuskan mereka dicuri dari perusahaan lain atau untuk aktor ancaman untuk mendirikan bisnis palsu dan menghabiskan ribuan dolar untuk membelinya. Selain itu, setelah sertifikat digunakan dalam kampanye malware, biasanya dicabut, membuatnya tidak dapat digunakan untuk serangan di masa depan.
Menyalahgunakan layanan penandatanganan tepercaya Microsoft
Baru -baru ini, para peneliti cybersecurity telah melihat aktor ancaman memanfaatkan Layanan Penandatanganan Tepercaya Microsoft untuk menandatangani malware mereka dengan sertifikat penandatanganan kode tiga hari yang berumur pendek.
Sampel malware ini ditandatangani oleh “Microsoft ID diverifikasi CS EOC CA 01” dan sertifikat hanya berlaku selama tiga hari. Sementara sertifikat berakhir tiga hari setelah dikeluarkan, penting untuk dicatat bahwa executable yang ditandatangani dengan itu masih akan dianggap valid sampai penerbit mencabut sertifikat.
Sejak itu peneliti lain dan BleepingComputer telah menemukan banyak sampel lain yang digunakan dalam kampanye malware yang sedang berlangsung, termasuk yang digunakan dalam a Crazy Evil Traffers Kampanye Crypto-Theft[[Virustotal]dan Lumma Stealer[[Virustotal]kampanye.
Sumber: BleepingComputer
Itu Layanan Penandatanganan Tepercaya Microsoft Diluncurkan pada tahun 2024 dan merupakan layanan berbasis cloud yang memungkinkan pengembang untuk dengan mudah menandatangani program mereka oleh Microsoft.
“Penandatanganan tepercaya adalah layanan penandatanganan kode lengkap dengan pengalaman intuitif bagi pengembang dan profesional TI, didukung oleh otoritas sertifikasi yang dikelola Microsoft,” membaca a Pengumuman Microsoft untuk layanan.
“Layanan ini mendukung skenario penandatanganan kepercayaan publik dan swasta dan mencakup layanan penghapusan waktu.”
Platform ini memiliki layanan berlangganan bulanan $ 9,99 yang dirancang untuk memudahkan pengembang untuk menandatangani executable mereka, sementara juga menawarkan keamanan tambahan.
Peningkatan keamanan ini dilakukan dengan menggunakan sertifikat berumur pendek yang dapat dengan mudah dicabut jika terjadi penyalahgunaan dan dengan tidak pernah mengeluarkan sertifikat langsung kepada pengembang, mencegah mereka dicuri jika terjadi pelanggaran.
Microsoft juga mengatakan sertifikat yang dikeluarkan melalui layanan penandatanganan tepercaya memberikan peningkatan reputasi layar pintar yang serupa kepada eksekutif yang ditandatangani oleh layanannya.
“Tanda tangan penandatanganan tepercaya memastikan bahwa aplikasi Anda dipercaya dengan memberikan reputasi dasar pada layar pintar, kepercayaan mode pengguna pada windows, dan integritas memeriksa validasi tanda tangan yang sesuai,” membaca FAQ di situs penandatanganan tepercaya.
Untuk melindungi dari penyalahgunaan, Microsoft saat ini hanya mengizinkan Sertifikat yang akan dikeluarkan dengan nama perusahaan jika mereka telah berkecimpung dalam bisnis selama tiga tahun.
Namun, individu dapat mendaftar dan mendapatkan disetujui lebih mudah jika mereka baik -baik saja dengan sertifikat yang dikeluarkan dengan nama mereka.
Jalur yang lebih sederhana
Seorang peneliti dan pengembang cybersecurity yang dikenal sebagai ‘SquablyDoo,’ yang telah melacak kampanye malware menyalahgunakan sertifikat selama bertahun -tahun, mengatakan kepada BleepingComputer bahwa mereka percaya aktor ancaman beralih ke layanan Microsoft karena kenyamanan.
“Saya pikir ada beberapa alasan untuk perubahan. Untuk waktu yang lama, menggunakan sertifikat EV telah menjadi standar, tetapi Microsoft telah mengumumkan perubahan pada sertifikat EV,” kata SquablyDoo kepada BleepingComputer.
“Namun, perubahan pada sertifikat EV benar-benar tidak jelas bagi siapa pun: bukan penyedia sertifikat, bukan penyerang. Namun, karena potensi perubahan dan kurangnya kejelasan ini, hanya memiliki sertifikat penandatanganan kode mungkin memadai untuk kebutuhan penyerang.”
“Dalam hal ini, proses verifikasi untuk sertifikat Microsoft jauh lebih mudah daripada proses verifikasi untuk sertifikat EV: karena ambiguitas atas sertifikat EV, masuk akal untuk menggunakan sertifikat Microsoft.”
BleepingComputer menghubungi Microsoft tentang penyalahgunaan dan diberitahu bahwa perusahaan menggunakan ancaman pemantauan intelijen untuk menemukan dan mencabut sertifikat seperti yang ditemukan.
“Kami menggunakan pemantauan intelijen ancaman aktif untuk terus mencari penyalahgunaan atau penyalahgunaan layanan penandatanganan kami,” kata Microsoft kepada BleepingComputer.
“Ketika kami mendeteksi ancaman, kami segera mengurangi dengan tindakan seperti pencabutan sertifikat luas dan penangguhan akun. Sampel malware yang Anda bagikan terdeteksi oleh produk antimalware kami dan kami telah mengambil tindakan untuk mencabut sertifikat dan mencegah penyalahgunaan akun lebih lanjut.”
