Wichtige Urteile

• Die ersten Fälle der Verwendung gestohlener Code-Zertifikate konnten wir im Jahr 2011 beobachten, doch erst ab 2015 wurden Code-Signatur-Zertifikate in der kriminellen Unterwelt weit verbreitet.
• Die Insikt Group hat seit 2011 vier bekannte Anbieter solcher Produkte identifiziert; nur zwei Anbieter bieten ihre Dienste derzeit russischsprachigen Hackern an.
• Die günstigste Version eines Code-Signatur-Zertifikats kostet 299 US-Dollar, das umfassendste Extended Validation (EV)-Zertifikat mit SmartScreen-Reputationsbewertung wird jedoch für 1.599 US-Dollar angeboten. Der Startpreis für die Registrierung eines Domainnamens mit EV-SSL-Zertifikat beträgt 349 US-Dollar.
• Alle Zertifikate werden von renommierten Unternehmen wie Comodo, Thawte und Symantec ausgestellt und haben sich bei der Verschleierung von Malware als äußerst wirksam erwiesen. Wir gehen davon aus, dass die Inhaber seriöser Unternehmen nicht wissen, dass ihre Daten für illegale Aktivitäten verwendet wurden.
• Netzwerksicherheitsgeräte, die eine Deep Packet Inspection durchführen, werden weniger effektiv, wenn legitimer (gültiges Zertifikat) SSL/TLS-Datenverkehr durch ein bösartiges Implantat initiiert wird. Die Netflow-Analyse (Paket-Header-Analyse) ist eine wichtige Kontrollmaßnahme zur Risikominderung, da hostbasierte Kontrollmechanismen durch gültige Codesignaturzertifikate ebenfalls unwirksam werden können.

### Zusammenfassung der Führungskräfte

Im Jahr 2017 begannen Sicherheitsforscher auf der ganzen Welt einen plötzlichen Anstieg der Verwendung von Codesignaturzertifikaten als mehrschichtige Verschleierungstaktiken TTPs für Kampagne Verbreitung bösartiger Nutzdaten zu beobachten. Die Insikt Group von Recorded Future untersuchte die kriminelle Unterwelt und identifizierte Anbieter, die derzeit sowohl Code-Signatur-Zertifikate als auch Domainnamen-Registrierungen mit dazugehörigen SSL-Zertifikaten anbieten.

Entgegen der weit verbreiteten Annahme, dass die im kriminellen Untergrund kursierenden Sicherheitszertifikate von rechtmäßigen Besitzern gestohlen und anschließend in ruchlosen Kampagne eingesetzt werden, konnten wir mit hoher Wahrscheinlichkeit bestätigen, dass die Zertifikate nur für einen bestimmten Käufer auf Anfrage erstellt und unter Verwendung gestohlener Firmenidentitäten registriert werden, wodurch herkömmliche Netzwerksicherheitsgeräte weniger effektiv sind.

Hintergrund

Seit Jahren warnen Sicherheitsforscher die Öffentlichkeit vor Cyberkriminellen, die gefälschte Codesignaturzertifikate verwenden, um bösartige Nutzdaten zu verschleiern. Allerdings wurden diese Untergrunddienste nur selten gründlich untersucht.

Mit der Verbesserung der Erkennungsfähigkeiten von Antivirensoftware reichten die Standardtaktiken wie die Payload-Verschlüsselung nicht mehr aus. Es wurde immer schwieriger, die Wirksamkeit einer Datei über längere Zeiträume aufrechtzuerhalten, sodass manchmal eine tägliche „Bereinigung“ der ausführbaren Dateien erforderlich war. Als Folge davon benötigten Cyberkriminelle einen umfassenderen Sicherheitsansatz und begannen mit einer sekundären Schutzschicht zu experimentieren, indem sie Nutzdatendateien mit den rechtmäßig ausgestellten Sicherheitszertifikaten signierten.

Obwohl bereits 2011 bekannt war, dass Bedrohungsakteur gefälschte Zertifikate verwendeten, tauchten die ersten Angebote erst 2015 im Untergrund auf.

Bedrohungsanalyse

Einer der ersten Anbieter gefälschter Code-Signaturzertifikate war unter dem Namen C@T bekannt und Mitglied eines sehr aktiven Hacker-Forums. Im März 2015 bot C@T einen Microsoft Authenticode zum Verkauf an, der in der Lage war, 32-Bit-/64-Bit-Versionen verschiedener ausführbarer Dateien sowie Microsoft Office-, Microsoft VBA-, Netscape Object Signing- und Marimba Channel Signing-Dokumente zu signieren und Silverlight 4-Anwendungen zu unterstützen. Zusätzlich waren auch Apple-Codesignaturzertifikate erhältlich.

In seiner Anzeige erklärte C@T, dass die Zertifikate bei legitimen Unternehmen registriert und von Comodo, Thawte und Symantec – den größten und angesehensten Emittenten – ausgegeben werden. Der Verkäufer gab an, dass jedes Zertifikat einzigartig ist und nur einem einzigen Käufer zugewiesen wird, was leicht über HerdProtect.com verifiziert werden kann. Laut C@T steigt die Erfolgsquote von Nutzlastinstallationen aus signierten Dateien um 30 bis 50 Prozent, und er gab sogar zu, in weniger als sechs Monaten über 60 Zertifikate verkauft zu haben.

In dieser Zeit sah C@T einen Rückgang der Verkaufszahlen und konnte aufgrund erschwinglicher Kosten keine breite Kundenbasis ansprechen, wobei in manchen Fällen über 1.000 Dollar pro Zertifikat gefordert wurden, während andere, erschwinglichere und zuverlässigere Methoden zur Nutzlastverschleierung noch verfügbar waren.

Die Aktivitäten krimineller Verkäufer gefälschter Code-Signaturzertifikate im Darknet.

Rund zwei Jahre später begannen drei neue Akteure, ihre Dienste vorwiegend im osteuropäischen Untergrund anzubieten. Während einer der Akteure schließlich zu anderen illegalen Aktivitäten überging, liefern die beiden verbleibenden Akteure weiterhin aktiv gefälschte Zertifikate an russischsprachige Akteure.

Der zweite Akteur ist auf Klasse-3-Zertifikate spezialisiert, die keine Extended Validation (EV)-Garantie enthalten und zum Preis von 600 US-Dollar erhältlich sind, während der dritte Akteur die breiteste Produktpalette anbietet.

Standardmäßige Codesignaturzertifikate von Comodo, die keine SmartScreen-Reputationsbewertung enthalten, kosten 295 US-Dollar. Ein Käufer, der an der vertrauenswürdigsten Version eines von Symantec ausgestellten EV-Zertifikats interessiert ist, müsste 1.599 US-Dollar zahlen, was einem Aufschlag von 230 Prozent gegenüber dem Preis des Originalzertifikats entspricht. Für diejenigen, die in großen Mengen kaufen möchten, können auch vollständig authentifizierte Domains mit EV-SSL-Verschlüsselung und Codesignaturfunktionen für 1.799 US-Dollar arrangiert werden.

Produktliste, beworben von einem Bedrohungsakteur.

Laut den Informationen, die beide Verkäufer in einem privaten Gespräch bereitgestellt haben, werden alle Zertifikate zur Garantie der Ausgabe und Lebensdauer der Produkte mit den Informationen realer Unternehmen registriert. Mit hoher Sicherheit glauben wir, dass die legitimen Geschäftsinhaber nicht wissen, dass ihre Daten für die illegalen Aktivitäten verwendet wurden. Es ist wichtig zu beachten, dass alle Zertifikate für jeden Käufer einzeln erstellt werden, mit einer durchschnittlichen Lieferzeit von zwei bis vier Tagen.

Technische Analyse

Beide Akteure haben eingeräumt, dass Kunden aufgrund der fortschrittlichen Sicherheitskennzahlen im Chrome-Browser – der als ausgezeichnete Sicherheit gilt – deutlich geringere Erfolgsdurchdringungen im Vergleich zu Firefox, Internet Explorer und Safari erwarten müssen.

Die Insikt Group überzeugte erfolgreich einen Anbieter, einen Test durchzuführen, indem sie eine bereitgestellte Nutzlast-ausführbare Datei eines bisher nicht gemeldeten Remote Access Trojan (RAT) mit einem kürzlich ausgestellten Comodo-Zertifikat signierte. Obwohl Testsubbanddateien vorher verschlüsselt waren, zeigten die Testergebnisse die überlegene Effektivität von codesignierten Versionen.

Während nur acht Antivirenanbieter die verschlüsselte Version der Nutzlast erfolgreich erkannten, waren nur zwei von ihnen auch gegen die code-signierte Version wirksam. Noch beunruhigendere Ergebnisse kamen ans Licht, nachdem der gleiche Test mit einer nicht-residenten Version der Nutzlast durchgeführt wurde. In diesem Fall waren nur sechs Unternehmen in der Lage, eine verschlüsselte Version zu erkennen, und nur der Endgame-Schutz erkannte die Datei erfolgreich als schädlich.

Ausblick

Netzwerksicherheitsgeräte, die eine Deep Packet Inspection durchführen, werden weniger effektiv, wenn legitimer (gültiges Zertifikat) SSL/TLS-Datenverkehr durch ein bösartiges Implantat initiiert wird. Die Netflow-Analyse (Paket-Header-Analyse) ist eine wichtige Kontrollmaßnahme zur Risikominderung, da hostbasierte Kontrollmechanismen durch gültige Codesignaturzertifikate ebenfalls unwirksam werden können.

Im Gegensatz zu gewöhnlichen Verschlüsselungsdiensten, die leicht zu 10–30 Dollar pro Verschlüsselung erhältlich sind, erwarten wir nicht, dass gefälschte Zertifikate aufgrund ihrer hohen Kosten zu einem gängigen Bestandteil der Cyberkriminalität werden. Zweifellos werden anspruchsvollere Akteure und staatliche Akteure, die weniger verbreitete und gezieltere Angriffe durchführen, weiterhin gefälschte Code-Signing- und SSL-Zertifikate in ihren Abläufen verwenden.

Um Screenshots, die mit dieser Analyse verbunden sind, anzusehen, Laden Sie den Anhang herunter.