F-Secure warnt vor digital signierter Schadsoftware

Forscher von F-Secure haben eine Rarität entdeckt: eine Schadsoftware, die mit einem gültigen digitalen Zertifikat signiert ist. Es stammt vom Institut für landwirtschaftliche Forschung und Entwicklung in Malaysia. Nach Auskunft der Regierungsbehörde wurde das Zertifikat „schon vor einiger Zeit“ gestohlen. Seine Gültigkeit endete im September.

Der Trojaner, den F-Secure als „Agent.DTIW“ identifiziert, verbreitet sich über manipulierte PDF-Dateien, die eine Schwachstelle in Adobe Reader 8 ausnutzen. „Die Malware lädt zusätzliche schädliche Komponenten von einem Server namens worldnewsmagazines.org nach. Einige dieser Komponenten sind ebenfalls signiert, allerdings von einer Stelle, die sich esupplychain.com.tw nennt“, schreibt Mikko Hypponen im F-Secure-Blog.

Normalerweise werden digitale Zertifikate eingesetzt, um Software als vertrauenswürdig zu kennzeichnen. „Es ist nicht üblich, dass man eine signierte Kopie einer Schadsoftware findet. Umso seltener ist es, dass ein offizieller Schlüssel zu einer Regierung gehört“, heißt es weiter in dem Blogeintrag. Hacker können gestohlene Sicherheitszertifikate missbrauchen, um ihre Opfer zum Besuch manipulierter Websites oder zur Ausführung von nicht vertrauenswürdigem Programmcode zu verleiten – so geschehen beim auf Industriekontrollsysteme ausgerichteten Wurm Stuxnet sowie beim kürzlich entdeckten Trojaner Duqu.

Unternehmen, die digitale Zertifikate ausstellen, sind immer häufiger das Ziel von Hackerangriffen. Die niederländische Certificate Authority (CA) DigiNotar musste nach einem Einbruch, der zur Ausstellung zahlreicher gefälschter Zertifikate geführt hatte, sogar Insolvenz anmelden. Der dafür verantwortliche Hacker drang Anfang des Jahres nach eigenen Angaben auch in die Netzwerke von Partnern des Sicherheitsunternehmens Comodo ein.

Es ist nicht das erste Mal, dass es ein Problem mit in Malaysia ausgestellten Zertifikaten gibt. Anfang November hatte Mozilla mitgeteilt, dass DigiCert Sdn. Bhd 22 Zertifikate mit schwachen Schlüsseln ausgestellt hat. Es lägen zwar keine Hinweise für einen Betrug vor, die schwachen Schlüssel könnten aber einen Missbrauch der Zertifikate erlauben.

Das für den Trojaner „Agent.DTIW“ missbrauchte Zertifikat stammt von einer Regierungsbehörde in Malaysia (Bild: F-Secure).