Artikel top billede

Malware-folket snyder dig med falske underskrifter

Udviklerne af malware underskriver i stigende grad deres skadelige software med stjålne certifikater for at snyde din sikkerhedssoftware.

Computerworld News Service: It-sikkerhedsfirmaerne har den senere tid identificeret en række eksempler på malware, der anvender stjålne digitale certifikater til at underskrive deres komponenter i forsøget på at undgå at blive opdaget af sikkerhedssoftware.

Da ormen Stuxnet, der var skræddersyet til meget specifik industrisabotage, blev opdaget i 2010, overraskede den sikkerhedsbranchen med sin anvendelse af rootkit-komponenter, der var digitalt underskrevet med certifikater, der var stjålet fra chipproducenterne Realtek og JMicron.

Sikkerhedseksperterne forudsagde på daværende tidspunkt, at andre udviklere af malware i fremtiden ville tage denne teknik til sig med den hensigt at omgå håndhævelsen af driver-signaturer i 64-bit-udgaverne af Windows Vista og Windows 7. Nu ser det desværre ud til, at de har fået ret.

En bagdør, der blev opdaget af Symantec i december, installerede for eksempel en rootkit-driver, der var underskrevet med et digitalt certifikat fra en unavngiven virksomhed. Dette certifikat blev ni dage senere tilbagekaldt af VeriSign efter anmodning fra ejeren.

Der er dog risiko for, at sådan malware forbliver uopdaget i betydeligt længere tid, end indtil de stjålne certifikater bliver tilbagekaldt, da der går lang tid imellem, at de forskellige versioner af Windows kontrollerer listerne over tilbagekaldte certifikater - hvis de overhovedet kontrollerer disse lister, påpeger Mircea Ciubotariu, som er ledende softwareingeniør hos Symantec.

Men selv hvis Windows jævnligt kontrollerede disse lister, ville det ikke gøre megen forskel i forhold til malware, der allerede er underskrevet med de tilbagekaldte certifikater, fordi det ikke er praktisk gennemførligt at blokere sådanne filer, påpeger Costin Raiu, der er chef for global analyse hos Kaspersky Lab.

Han trækker Stuxnet, der anvendte et stjålet Realtek-certifikat, frem som eksempel:

"Hvis Microsoft blokerede for indlæsningen af alle kendte filer, der var underskrevet med det certifikat, så ville millioner af brugere over hele verden med hardware fra Realtek pludselig ikke længere kunne bruge deres bundkort og netværkskort og så videre. Derfor kan Microsoft ikke blokere for afvikling eller indlæsning af filer, der er underskrevet med stjålne certifikater."

Dropper-trojaner

Et andet stykke malware, der for nylig er blevet identificeret af Kaspersky Lab, var underskrevet med et certifikat, der var stjålet fra et schweizisk selskab ved navn Conpavi AG.

"Dette selskab samarbejder med schweiziske statslige institutioner såsom kommuner og kantoner," oplyser sikkerhedsekspert Vyacheslav Zakorzhevsky fra Kaspersky Lab i et blogindlæg.

Denne trussel kaldes af Kaspersky Lab for Trojan-Dropper.Win32/Win64.Mediyes og er del af en kliksvindel-kampagne. Den underskrevne komponent er i dette tilfælde ikke en driver men derimod malware-installeren, hvilket også kaldes for en dropper.

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Brother Nordic A/S
Import og engroshandel med kontormaskiner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere