De aanvallers die het interne netwerk van anti-virusbedrijf Kaspersky Lab infiltreerden gebruikten een geldig digitaal certificaat van het Chinese bedrijf Foxconn om hun malware te signeren. Foxconn is de grootste elektronicafabrikant ter wereld en produceert onder andere producten voor Apple, Dell en Cisco.

Vorige week maakte Kaspersky Lab bekend dat aanvallers erin waren geslaagd om malware op het interne netwerk te krijgen. Het ging om een nieuwe variant van de zeer geavanceerde Duqu-malware, genaamd Duqu 2.0. Duqu 2.0 verbergt zich in het geheugen van besmette computers. Als de machine wordt herstart en de malware daardoor verdwijnt, wordt de computer via een gehackte server weer opnieuw geïnfecteerd. Hiervoor gebruiken de aanvallers speciale drivers.

Tijdens de operaties installeerden de aanvallers deze drivers op firewalls, gateways en andere servers met een directe toegang tot het internet aan één kant en toegang tot het bedrijfsnetwerk aan de andere kant. Op deze manier wisten de aanvallers verschillende doelen te bereiken, zoals het benaderen van de interne infrastructuur vanaf het internet, voorkomen dat ze in de logbestanden van de proxyservers verschenen en computers permanent konden besmetten.

Certificaten

Voor 64-bit Windowsversies is het verplicht dat drivers digitaal gesigneerd zijn. Onderzoekers van Kaspersky Lab keken dan ook vreemd op toen ze zagen dat een van de ontdekte drivers via een geldig certificaat van Foxconn was ondertekend. Hetzelfde certificaat was in februari 2013 nog door de fabrikant gebruikt voor het signeren van verschillende drivers voor Dell laptops. Het gebruik van geldige digitale certificaten is niet nieuw. Eerder werd dit ontdekt bij Stuxnet en de eerste versie van Duqu.

"Het stelen van digitale certificaten en signeren van malware in naam van legitieme bedrijven is een beproefde methode van de Duqu-aanvallers", aldus onderzoekers van Kaspersky Lab. Hoe de aanvallers het Foxconn-certificaat wisten te bemachtigen is onbekend. Wel stellen de onderzoekers dat aanvallers een voorkeur voor hardwarefabrikanten lijken te hebben, aangezien er bij Stuxnet en Duqu 1.0 certificaten van Realtek en Jmicron werden gebruikt.

Vertrouwen

Wat verder opvalt is dat de aanvallers hetzelfde certificaat niet twee keer gebruikten. Iets wat ook bij de eerste Duqu-versie al het geval was. "Als dit het geval is, betekent dit dat de aanvallers mogelijk voldoende alternatieve digitale certificaten van andere fabrikanten hebben gestolen die klaar zijn om bij de volgende gerichte aanval te worden gebruikt", aldus de onderzoekers. Die waarschuwen dat dit zeer verontrustend zou zijn, aangezien dit het vertrouwen in digitale certificaten ondermijnt. Inmiddels zouden zowel certificaatuitgever Verisign als Foxconn over het certificaat in kwestie zijn ingelicht.