Windows-Malware mit gültigen digitalen Signaturen entdeckt

Forscher der tschechischen Masaryk Universität und des Maryland Cybersecurity Center (MCC) der University of Maryland haben mehrere Schadprogramme für Windows entdeckt, die mit einer gültigen digitalen Signatur versehen waren. Wie Infosecurity Magazine berichtet, sind dafür vier nicht näher genannte Organisationen verantwortlich, die unter anderem Microsoft-Authenticode-Zertifikate an anonyme Käufer veräußern.

Mit ihrer Studie wollten die Forscher den Untergrundhandel mit gültigen Softwarezertifikaten beleuchten, um dessen Ausmaß besser einschätzen zu können. Zu diesem Zweck untersuchten sie auch Beispiele für signierte Malware, um die Nachfrage nach Code-Signing-Zertifikaten einschätzen zu können. Dabei stellten die Forscher einen wichtigen Trend fest: Digitale Zertifikate für Schadsoftware stammen nicht mehr von Entwicklern, die zuvor kompromittiert wurden, sondern von einem stabilen Untergrundmarkt für Zertifikate für Malware-Autoren. „Zertifikate, die für den Missbrauch ausgestellt wurden, stellen ein aufstrebendes Segment der Schattenwirtschaft darf“, heißt es in der Studie (PDF).

Zertifikate sollen den Autoren von Schadsoftware vor allem helfen, Microsofts Sicherheitstechnik Defender SmartScreen zu umgehen. Sie prüft ausführbare Dateien vor ihrem Start und schätzt deren Vertrauenswürdigkeit unter anderem anhand des Zertifikats der Datei ein. Authenticode-Zertifikate von Microsoft, die für die Signierung von nicht installierten ausführbaren Dateien verwendet werden, sind der Studie zufolge ein geeignetes Werkzeug für Cyberkriminelle, da sie aufgrund spezieller Eigenheiten einen Missbrauch begünstigen. So lassen sich den Forschern zufolge missbrauchte Zertifikate nicht durch systematische Netzwerkscans aufspüren.

Für die Studie untersuchten die Forscher fast 2,12 Millionen Dateien, von denen mehr als 188.000 als schädlich eingestuft wurden. 14.221 Schadprogramme waren korrekt zertifiziert. Die Preise für die Zertifikate lagen in englischen und russischen Untergrundforen – je nach Art des Zertifikats und SmartScreen-Reputation – zwischen 350 und 7000 Dollar.

„Unsere Ergebnisse deuten darauf hin, dass es für spezialisierte Anbieter möglich ist, einen zuverlässigen Prozess zur Erlangung von Codesigning-Zertifikaten von Certificate Authorities einzurichten“, lautet ein Fazit der Studie. „Der Untergrundhandel wächst und mindestens ein Teil des Kundenstamms zeigt ein gewisses Vertrauen in die Zuverlässigkeit der Zertifikatsversorgung.“

Die mit Zertifikaten erzielten Umsätze der untersuchten Anbieter sind jedoch vergleichsweise überschaubar. Der erfolgreichste Anbieter der Studie, der als einziger einen eigenen Online-Shop unterhält, verkauft demnach in Schnitt pro Monat mehr als zehn Zertifikate im Wert von rund 16.150 Dollar. Fast die Hälfte dieser Zertifikate wurde innerhalb eines Monats nach Verkauf für die Signierung von Schadsoftware verwendet.