Onderzoekers hebben een malware-exemplaar ontdekt dat een legitiem certificaat van de Filipijnse marine gebruikt om versleuteld met de aanvallers te communiceren. Het certificaat is inmiddels verlopen, maar zou al zeker sinds juni 2020 bij aanvallen zijn gebruikt, zo stelt antivirusbedrijf Avast in een analyse.

Volgens onderzoekers van de virusbestrijder hadden de aanvallers zeer waarschijnlijk toegang tot de privésleutel van het certificaat, dat was uitgegeven voor *.navy.mil.ph. Het certificaat was geldig van 15 december 2019 tot 15 december 2020. De malware waar Avast over bericht is een remote access tool (RAT). Eenmaal actief maakt de malware het mogelijk voor aanvallers om via een versleutelde TLS-verbinding met de besmette machine te communiceren.

De malware maakt echter eerst verbinding met de server van de aanvallers en zet alleen een communicatiekanaal op wanneer de server over het certificaat van de Filipijnse marine beschikt. Avast waarschuwde de Filipijnse marine en kreeg later te horen dat het probleem was verholpen en er geen verdere hulp van het antivirusbedrijf was vereist. "Omdat dit nu bij actieve aanvallen wordt ingezet, hebben we besloten onze bevindingen meteen openbaar te maken, zodat organisaties zichzelf kunnen beschermen", aldus het Avast Threat Intelligence Team.