Cybercriminelen zijn erin geslaagd om onder naam van een legitiem bedrijf een certificaat aan te vragen dat gebruikt werd voor het signeren van malware. De malware werd ontdekt door het Finse F-Secure. De virusbestrijder nam contact op met het bedrijf in wiens naam het certificaat was uitgegeven. In eerste instantie ging het anti-virusbedrijf ervan uit dat cybercriminelen het 'code signing' certificaat hadden gestolen. Het bedrijf in kwestie deed echter niets met software en kon dus ook niet signeren.

Het certificaat was in naam van een echte werknemer aangevraagd, waarbij Comodo zowel telefonisch als via e-mail de persoon in kwestie had geverifieerd. De criminelen hadden toegang tot de e-mail van de werknemer en de telefonische verificatie kwam bij de verkeerde persoon terecht of er was een misverstand, aldus Jarno Niemelä. Tijdens het onderzoek werd duidelijk dat ook Certificate Authority (CA) Thawte de medewerker had gebeld, alleen dat na het telefoongesprek het certificeringsproces werd gestopt. "Het lijkt erop dat de virusschrijvers meerdere CA's hebben geprobeerd totdat alles lukte."

Vertrouwen
Niemelä maakt zich vanwege het incident ernstig zorgen over de betrouwbaarheid van het signeren van software in het algemeen. "Als aanvallers toegang tot de e-mail van een bedrijf hebben, is het lastig voor een CA om te verifiëren of het om een legitiem verzoek gaat." De Fin verwacht dat er in de toekomst meer van dit soort incidenten zullen plaatsvinden.

CA's hebben wel maatregelen getroffen om misbruik te voorkomen. "Maar deze systemen worden beheerd door mensen, en zijn dus feilbaar. We moeten het feit accepteren dat met het huidige systeem, certificaten geen 100% bewijs zijn voor de herkomst van een bestand."

Als het aan Niemelä ligt, zouden bedrijven bij slechts één CA hun certificaten moeten regelen. In dat geval wordt het lastiger voor aanvallers om bestaande relaties te omzeilen of misleiden. "Het huidige model waarbij elke CA een certificaat in elke naam kan uitgeven zal nooit veilig zijn, aangezien er teveel manieren voor scams en social engineering zijn."