Aanvallers kunnen Java-malware aan gesigneerde MSI-bestanden toevoegen zonder dat de digitale handtekening van het bestand verandert en deze aanvalsvector is door VirusTotal waargenomen. VirusTotal is de online virusscandienst van Google waar mensen verdachte bestanden naar toe kunnen uploaden, die vervolgens door tientallen virusscanners worden gecontroleerd.

Softwareontwikkelaars kunnen bestanden signeren, zodat gebruikers de identiteit van de ontwikkelaar kunnen vaststellen en weten dat het bestand niet is aangepast. Als een gesigneerd .exe-bestand wordt aangepast zal Windows de digitale handtekening namelijk niet meer als geldig beschouwen. De aanwezigheid van een digitale handtekening zorgt er ook voor dat sommige beveiligingspakketten geen diepgaande scan bij gesigneerde bestanden uitvoeren.

Onderzoekers van VirusTotal hebben echter ontdekt dat het mogelijk is om in het geval van gesigneerde MSI-bestanden wel code aan het bestand toe te voegen, zonder dat Windows vervolgens alarm slaat. Het aangepaste bestand doorstaat het verificatieproces en zal de originele handtekening laten zien, zonder enige waarschuwingen. Op deze manier zou een aanvaller kwaadaardige code aan het MSI-bestand kunnen toevoegen, die vervolgens bij het openen van het bestand ook wordt uitgevoerd.

Het is echter niet mogelijk om elk willekeurig soort bestand toe te voegen. Afhankelijk van het soort bestand dat is toegevoegd moet de aanvaller al een onderdeel hebben dat op het systeem van het slachtoffer draait en de toegevoegde code in het MSI-bestand kan uitpakken en uitvoeren. Bij JAR-bestanden is dit echter niet van toepassing. JAR staat voor Java ARchive en beschikt over een eigenschap waardoor het ideaal voor deze situatie is, aldus Bernardo Quintero van VirusTotal.

Via een JAR-bestand is het namelijk mogelijk om een complete applicatie uit te rollen. Het JAR-formaat is daarnaast gebaseerd op Zip om de verschillende onderdelen van de applicatie op te slaan. Tevens kijkt Java bij het openen van een JAR-bestand naar het einde van bestand in plaats van het begin. Een aanvaller kan zodoende een kwaadaardig JAR-bestand aan een gesigneerd MSI-bestand van een vertrouwde softwareontwikkelaar zoals Google of Microsoft toevoegen. Het bestand kan vervolgens worden hernoemd met de .jar-extensie en nog steeds zal Windows de digitale handtekening als geldig beschouwen. Zodra de gebruiker dit bestand opent wordt ook de toegevoegde Java-malware uitgevoerd.

VirusTotal ontdekte de aanvalsvector bij een bestand dat naar de virusscandienst was geüpload. Er is echter nog geen bewijs gevonden dat deze techniek op grote schaal wordt toegepast om malware te verspreiden. Microsoft is over het probleem geïnformeerd, maar is niet voornemens om het in de huidige versies van Windows te verhelpen. De softwaregigant vond het verder prima dat VirusTotal de aanvalsvector bekendmaakt.