Windows-Malware mit gültigen digitalen Signaturen entdeckt

Sie stammen aus einem offenbar wachsenden Schwarzmarkt. Eine Studie entdeckt vier Anbieter, von denen einer sogar einen Online-Shop betreibt. Die Preise für Codesigning-Zertifikate liegen zwischen 350 und 7000 Dollar.

Forscher der tschechischen Masaryk Universität und des Maryland Cybersecurity Center (MCC) der University of Maryland haben mehrere Schadprogramme für Windows entdeckt, die mit einer gültigen digitalen Signatur versehen waren. Wie Infosecurity Magazine berichtet, sind dafür vier nicht näher genannte Organisationen verantwortlich, die unter anderem Microsoft-Authenticode-Zertifikate an anonyme Käufer veräußern.

Malware (Bild: Maksim Kabakou/Shutterstock)Mit ihrer Studie wollten die Forscher den Untergrundhandel mit gültigen Softwarezertifikaten beleuchten, um dessen Ausmaß besser einschätzen zu können. Zu diesem Zweck untersuchten sie auch Beispiele für signierte Malware, um die Nachfrage nach Code-Signing-Zertifikaten einschätzen zu können. Dabei stellten die Forscher einen wichtigen Trend fest: Digitale Zertifikate für Schadsoftware stammen nicht mehr von Entwicklern, die zuvor kompromittiert wurden, sondern von einem stabilen Untergrundmarkt für Zertifikate für Malware-Autoren. „Zertifikate, die für den Missbrauch ausgestellt wurden, stellen ein aufstrebendes Segment der Schattenwirtschaft darf“, heißt es in der Studie (PDF).

Zertifikate sollen den Autoren von Schadsoftware vor allem helfen, Microsofts Sicherheitstechnik Defender SmartScreen zu umgehen. Sie prüft ausführbare Dateien vor ihrem Start und schätzt deren Vertrauenswürdigkeit unter anderem anhand des Zertifikats der Datei ein. Authenticode-Zertifikate von Microsoft, die für die Signierung von nicht installierten ausführbaren Dateien verwendet werden, sind der Studie zufolge ein geeignetes Werkzeug für Cyberkriminelle, da sie aufgrund spezieller Eigenheiten einen Missbrauch begünstigen. So lassen sich den Forschern zufolge missbrauchte Zertifikate nicht durch systematische Netzwerkscans aufspüren.

Für die Studie untersuchten die Forscher fast 2,12 Millionen Dateien, von denen mehr als 188.000 als schädlich eingestuft wurden. 14.221 Schadprogramme waren korrekt zertifiziert. Die Preise für die Zertifikate lagen in englischen und russischen Untergrundforen – je nach Art des Zertifikats und SmartScreen-Reputation – zwischen 350 und 7000 Dollar.

HIGHLIGHT

Report: Entwicklung der Cloud-Nutzung

McAfee befragte im Rahmen der jährlichen Forschungsstudie zur Cloud-Sicherheit und der Migration zur Cloud mehr als 1.400 IT-Experten. Dieser Bericht zeigt den Stand der Dinge bei Cloud-Sicherheit auf und bietet praktische Hinweise. Jetzt herunterladen!

„Unsere Ergebnisse deuten darauf hin, dass es für spezialisierte Anbieter möglich ist, einen zuverlässigen Prozess zur Erlangung von Codesigning-Zertifikaten von Certificate Authorities einzurichten“, lautet ein Fazit der Studie. „Der Untergrundhandel wächst und mindestens ein Teil des Kundenstamms zeigt ein gewisses Vertrauen in die Zuverlässigkeit der Zertifikatsversorgung.“

Die mit Zertifikaten erzielten Umsätze der untersuchten Anbieter sind jedoch vergleichsweise überschaubar. Der erfolgreichste Anbieter der Studie, der als einziger einen eigenen Online-Shop unterhält, verkauft demnach in Schnitt pro Monat mehr als zehn Zertifikate im Wert von rund 16.150 Dollar. Fast die Hälfte dieser Zertifikate wurde innerhalb eines Monats nach Verkauf für die Signierung von Schadsoftware verwendet.

Bleiben Sie in Kontakt mit ZDNet.de

 

ZDNet-Newsletter

Täglich alle relevanten Nachrichten frei Haus.

Jetzt anmelden!

 

Themenseiten: Malware, Microsoft, Security, Sicherheit, Windows

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Windows-Malware mit gültigen digitalen Signaturen entdeckt

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *