Microsoft: gestolen certificaten gebruikt voor malware
Microsoft waarschuwt voor verschillende malware-exemplaren die met gestolen certificaten van softwareontwikkelaars gesigneerd zijn, waardoor het lijkt alsof de malware van een legitiem bedrijf afkomstig is. Door een digitale handtekening kunnen gebruikers zien van wie het programma afkomstig is.
Ook maakt het duidelijk dat er sinds het signeren niet met de inhoud van het programma is geknoeid. Het signeren van malware met een geldig certificaat biedt dan ook verschillende voordelen voor cybercriminelen. Zo kan het helpen om bepaalde beveiligingsmechanismes van het besturingssysteem en virusscanner te omzeilen.
Het signeren van malware met geldige certificaten is de afgelopen jaren dan ook flink gestegen. Het gaat hier echter om certificaten die de malwaremakers bij Certificate Authorities hebben aangevraagd. Dit zijn de partijen die certificaten uitgeven en vaak niet weten dat het uitgegeven certificaat voor kwaadaardige doelen wordt gebruikt.
Diefstal
Het gebruik van gestolen certificaten van bestaande softwareontwikkelaars komt echter zelden voor, aldus Microsoft. Recentelijk heeft de softwaregigant verschillende malware-exemplaren ontdekt die met gestolen certificaten gesigneerd zijn. Het gaat om twee nep-virusscanners genaamd FakePav en Winwebsec en een Trojaans paard genaamd Ursnif.
Winwebsec kwam in november al in het nieuws, omdat het het certificaat van een ingenieursbureau uit Enschede gebruikte. De scareware, die zich op computers als "Antivirus Security Pro" voordoet, zou in totaal 12 gestolen certificaten van legitieme bedrijven hebben gebruikt.
Microsoft waarschuwt softwareontwikkelaars dan ook om hun privésleutels voor het signeren goed te beveiligen. Er is namelijk verschillende malware in omloop die in staat is om certificaten en de bijbehorende privésleutel te stelen, waarna die door de malwaremakers te gebruiken zijn.
Tuurlijk. Maar niet of het goedaardige software is, of malware. Of goedaardige software met lekken die malware binnen
kan laten. Dus wat heb je nou aan zo'n handtekening? Helemaal niks toch?
"Het signeren van malware met geldige certificaten is de afgelopen jaren dan ook flink gestegen. Het gaat hier echter om certificaten die de malwaremakers bij Certificate Authorities hebben aangevraagd. Dit zijn de partijen die certificaten uitgeven en vaak niet weten dat het uitgegeven certificaat voor kwaadaardige doelen wordt gebruikt."
Tja dat is ook een beetje een raar systeem, is niet? Een authority geeft een certificaat af zonder dat ze kunnen weten
waar het voor gebruikt wordt. Waarom geven we vertrouwen aan dat soort certificaten?
Code signing zou wat mij betreft alleen waarde hebben als het door een onafhankelijke partij gedaan wordt die niet de maker
van de software is.
Tuurlijk. Maar niet of het goedaardige software is, of malware. Of goedaardige software met lekken die malware binnen
kan laten. Dus wat heb je nou aan zo'n handtekening? Helemaal niks toch?
Het geeft geen garanties over de kwaliteit of werking van de software uiteraard, daar heb je gelijk in. Maar dat is altijd een kwestie van vertrouwen op de auteur (of community) of, als je tijd te veel hebt, op je eigen audit in geval van open source software.
Vervolgens doen ze het nog een keer door via "secure boot" op de sleutels tot jouw computer te gaan zitten, en dat te verkopen als beschermmiddel tegen malware. Nu moeten concurrerende systemen vriendelijk aan redmond vragen of ze alsjeblieft hun bootloader willen signeren anders snappen de toch al belegerde gebruikers het helemaal niet meer. Als dat tegen malware moet helpen dan is de definitie van malware van redmond een beetje anders dan de mijne.
Overigens zijn er wel meer partijen die met signeren werken, bijvoorbeeld op je smarsfoon. Blijkt allerlei louche figuren er niet van te weerhouden datakapende apps via de appstoor verkocht te krijgen. Op, nuja, alle smarsfoonplatformen.
He kom, dat flauwe gedoe over Microsoft die het zo slecht met de wereld voor heeft.
Secure Boot is een stap in de richting van betrouwbaardere systemen (in de eeuwigdurende strijd tussen beveiligers en aanvallers). En/maar het is een industrie-ding en geen Microsoft-only kunstje. Secure Boot kan gewoon met eigen sleutels. Lees de instructies op bijvoorbeeld de Ubuntu en Fedora sites.
Ja, het *kan* ook met door Microsoft gesignde binaries, en er is een generieke Linux bootloader die zo werkt.
Maar als een Linux vendor puur en alleen eigen sleutels wil gebruiken dan kan dat, zonder enige interactie met Microsoft.
Als dit op een Windows systeem is: ja, sinds Windows 8 worden root-certificaten, de Certificate Trust Lists en de lijst met "Untrusted Certificates" automatisch bijgewerkt op basis van informatie op Windows Update.
Op Windows Vista en 7 kan automatic updating ook geïnstalleerd worden.
En als je dat per se zou willen, kan automatic updating worden uitgezet. (Daar is geen reden voor, tenzij je per se certificaten die niet meer vertrouwd worden wilt/moet blijven gebruiken.)
Meer info op: http://support.microsoft.com/kb/2677070
He kom, dat flauwe gedoe over Microsoft die het zo slecht met de wereld voor heeft.
Snor voor de gein die volkskrant-special van rond hun monopolieproces eens op, en lees je in in de bedrijfscultuur. Ze geloven daar onder andere dat ze werkelijk de wereld verbeteren met hun fan-tas-ti-sche software, dat is het bedrijfsethos. Met andere woorden, iedereen is beter af als je hun software gebruikt, als je doet wat je doet op hun manier. Niet voor niets zetelt het hoofdkantoor op "1 Microsoft Way".
Maar dat betekent dus wel dat ze zichzelf een vrijbrief op jouw computer mogen geven, want jij wordt daar beter van. Zo zit de bedrijfscultuur inelkaar, dus is het waar.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
