Microsoft: gestolen certificaten gebruikt voor malware
Microsoft waarschuwt voor verschillende malware-exemplaren die met gestolen certificaten van softwareontwikkelaars gesigneerd zijn, waardoor het lijkt alsof de malware van een legitiem bedrijf afkomstig is. Door een digitale handtekening kunnen gebruikers zien van wie het programma afkomstig is.
Ook maakt het duidelijk dat er sinds het signeren niet met de inhoud van het programma is geknoeid. Het signeren van malware met een geldig certificaat biedt dan ook verschillende voordelen voor cybercriminelen. Zo kan het helpen om bepaalde beveiligingsmechanismes van het besturingssysteem en virusscanner te omzeilen.
Het signeren van malware met geldige certificaten is de afgelopen jaren dan ook flink gestegen. Het gaat hier echter om certificaten die de malwaremakers bij Certificate Authorities hebben aangevraagd. Dit zijn de partijen die certificaten uitgeven en vaak niet weten dat het uitgegeven certificaat voor kwaadaardige doelen wordt gebruikt.
Diefstal
Het gebruik van gestolen certificaten van bestaande softwareontwikkelaars komt echter zelden voor, aldus Microsoft. Recentelijk heeft de softwaregigant verschillende malware-exemplaren ontdekt die met gestolen certificaten gesigneerd zijn. Het gaat om twee nep-virusscanners genaamd FakePav en Winwebsec en een Trojaans paard genaamd Ursnif.
Winwebsec kwam in november al in het nieuws, omdat het het certificaat van een ingenieursbureau uit Enschede gebruikte. De scareware, die zich op computers als "Antivirus Security Pro" voordoet, zou in totaal 12 gestolen certificaten van legitieme bedrijven hebben gebruikt.
Microsoft waarschuwt softwareontwikkelaars dan ook om hun privésleutels voor het signeren goed te beveiligen. Er is namelijk verschillende malware in omloop die in staat is om certificaten en de bijbehorende privésleutel te stelen, waarna die door de malwaremakers te gebruiken zijn.
Tuurlijk. Maar niet of het goedaardige software is, of malware. Of goedaardige software met lekken die malware binnen
kan laten. Dus wat heb je nou aan zo'n handtekening? Helemaal niks toch?
"Het signeren van malware met geldige certificaten is de afgelopen jaren dan ook flink gestegen. Het gaat hier echter om certificaten die de malwaremakers bij Certificate Authorities hebben aangevraagd. Dit zijn de partijen die certificaten uitgeven en vaak niet weten dat het uitgegeven certificaat voor kwaadaardige doelen wordt gebruikt."
Tja dat is ook een beetje een raar systeem, is niet? Een authority geeft een certificaat af zonder dat ze kunnen weten
waar het voor gebruikt wordt. Waarom geven we vertrouwen aan dat soort certificaten?
Code signing zou wat mij betreft alleen waarde hebben als het door een onafhankelijke partij gedaan wordt die niet de maker
van de software is.
Tuurlijk. Maar niet of het goedaardige software is, of malware. Of goedaardige software met lekken die malware binnen
kan laten. Dus wat heb je nou aan zo'n handtekening? Helemaal niks toch?
Het geeft geen garanties over de kwaliteit of werking van de software uiteraard, daar heb je gelijk in. Maar dat is altijd een kwestie van vertrouwen op de auteur (of community) of, als je tijd te veel hebt, op je eigen audit in geval van open source software.
Vervolgens doen ze het nog een keer door via "secure boot" op de sleutels tot jouw computer te gaan zitten, en dat te verkopen als beschermmiddel tegen malware. Nu moeten concurrerende systemen vriendelijk aan redmond vragen of ze alsjeblieft hun bootloader willen signeren anders snappen de toch al belegerde gebruikers het helemaal niet meer. Als dat tegen malware moet helpen dan is de definitie van malware van redmond een beetje anders dan de mijne.
Overigens zijn er wel meer partijen die met signeren werken, bijvoorbeeld op je smarsfoon. Blijkt allerlei louche figuren er niet van te weerhouden datakapende apps via de appstoor verkocht te krijgen. Op, nuja, alle smarsfoonplatformen.
He kom, dat flauwe gedoe over Microsoft die het zo slecht met de wereld voor heeft.
Secure Boot is een stap in de richting van betrouwbaardere systemen (in de eeuwigdurende strijd tussen beveiligers en aanvallers). En/maar het is een industrie-ding en geen Microsoft-only kunstje. Secure Boot kan gewoon met eigen sleutels. Lees de instructies op bijvoorbeeld de Ubuntu en Fedora sites.
Ja, het *kan* ook met door Microsoft gesignde binaries, en er is een generieke Linux bootloader die zo werkt.
Maar als een Linux vendor puur en alleen eigen sleutels wil gebruiken dan kan dat, zonder enige interactie met Microsoft.
Als dit op een Windows systeem is: ja, sinds Windows 8 worden root-certificaten, de Certificate Trust Lists en de lijst met "Untrusted Certificates" automatisch bijgewerkt op basis van informatie op Windows Update.
Op Windows Vista en 7 kan automatic updating ook geïnstalleerd worden.
En als je dat per se zou willen, kan automatic updating worden uitgezet. (Daar is geen reden voor, tenzij je per se certificaten die niet meer vertrouwd worden wilt/moet blijven gebruiken.)
Meer info op: http://support.microsoft.com/kb/2677070
He kom, dat flauwe gedoe over Microsoft die het zo slecht met de wereld voor heeft.
Snor voor de gein die volkskrant-special van rond hun monopolieproces eens op, en lees je in in de bedrijfscultuur. Ze geloven daar onder andere dat ze werkelijk de wereld verbeteren met hun fan-tas-ti-sche software, dat is het bedrijfsethos. Met andere woorden, iedereen is beter af als je hun software gebruikt, als je doet wat je doet op hun manier. Niet voor niets zetelt het hoofdkantoor op "1 Microsoft Way".
Maar dat betekent dus wel dat ze zichzelf een vrijbrief op jouw computer mogen geven, want jij wordt daar beter van. Zo zit de bedrijfscultuur inelkaar, dus is het waar.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.