Key Judgements

• Nous avons observé les premières utilisations de certificats de code volés en 2011, mais ce n'est qu'en 2015 que les certificats de signature de code sont devenus largement disponibles dans le milieu criminel clandestin.
• Insikt Group identifié quatre vendeurs bien connus de tels produits depuis 2011 ; seuls deux fournisseurs sollicitent actuellement leurs services auprès de hackers russophones.
• La version la plus abordable d'un certificat de signature de code coûte 299 $, mais le certificat à validation étendue (EV) le plus complet avec une cote de réputation SmartScreen est proposé à 1 599 $. Le prix de départ d'un enregistrement de nom de domaine avec certificat SSL EV est de 349 $.
• Tous les certificats sont délivrés par des entreprises réputées, telles que Comodo, Thawte et Symantec, et se sont révélés extrêmement efficaces pour obscurcir les malwares. Nous pensons que les propriétaires d’entreprises légitimes ignorent que leurs données ont été utilisées dans ces activités illicites.
• Les dispositifs de sécurité réseau effectuant une inspection approfondie des paquets deviennent moins efficaces lorsque le trafic SSL/TLS légitime (certificat légitime) est initié par un implant malveillant. L'analyse Netflow (en-têtes de paquets) est un contrôle important pour réduire les risques, car les contrôles basés sur l'hôte peuvent également être rendus inefficaces par des certificats de signature de code légitimes.

### cadres dirigeants Résumé

En 2017, des chercheurs en sécurité du monde entier ont commencé à constater une augmentation soudaine des certificats de signature de code utilisés comme TTPs d’obfuscation en couches pour la distribution de charges utiles malveillantes Campagne. Recorded Future's Insikt Group a enquêté sur la clandestinité criminelle et identifié des vendeurs proposant actuellement à la fois des certificats de signature de code et l’enregistrement de noms de domaine avec des certificats SSL associés.

Contrairement à une croyance répandue selon laquelle les certificats de sécurité circulant dans le milieu criminel sont volés à des propriétaires légitimes avant d'être utilisés dans Campagne malveillantes, nous avons confirmé avec un degré de certitude élevé que les certificats sont créés pour un acheteur spécifique sur demande uniquement et sont enregistrés à l'aide d'identités d'entreprises volées, ce qui rend les dispositifs de sécurité réseau traditionnels moins efficaces.

Background

Depuis plusieurs années, des chercheurs en sécurité mettent en garde le public contre les cybercriminels qui utilisent des certificats de signature de code contrefaits pour dissimuler des charges utiles malveillantes, mais ces services clandestins n'ont fait l'objet que de rares enquêtes approfondies.

Avec l'amélioration des capacités de détection des logiciels antivirus, les tactiques standard telles que le chiffrement de la charge utile ne suffisaient plus. Il devenait plus difficile de maintenir l’efficacité d’un fichier pendant de longues périodes, nécessitant parfois un « nettoyage » quotidien des fichiers exécutables. De ce fait, les cybercriminels ont eu besoin d'une approche de sécurité plus complète et ont commencé à expérimenter une couche protection secondaire, en signant les fichiers de charge utile avec les certificats de sécurité légitimement émis.

Bien qu’il fût connu que acteur malveillant utilisaient des certificats contrefaits dès 2011, ce n’est qu’en 2015 que les premières offres ont émergé dans le souterrain.

Threat Analysis

L'un des premiers vendeurs à proposer des certificats de signature de code contrefaits était connu sous le nom de C@T, membre d'un forum de discussion de piratage informatique très actif. En mars 2015, C@T a proposé à la vente un Microsoft Authenticode capable de signer des versions 32/64 bits de divers fichiers exécutables, ainsi que des documents Microsoft Office, Microsoft VBA, Netscape Object Signing et Marimba Channel Signing, et prenant en charge les applications Silverlight 4. Des certificats de signature de code Apple étaient également disponibles.

Dans sa publicité, C@T expliquait que les certificats étaient enregistrés au nom de sociétés légitimes et émis par Comodo, Thawte et Symantec — les émetteurs les plus importants et les plus respectés. Le vendeur a indiqué que chaque certificat est unique et ne sera attribué qu'à un seul acheteur, ce qui peut être facilement vérifié via HerdProtect.com. Selon C@T, le taux de réussite des installations de charges utiles à partir de fichiers signés augmente de 30 à 50 %, et il a même admis avoir vendu plus de 60 certificats en moins de six mois.

Pendant cette période, C@T a vu les ventes diminuer et n’a pas réussi à séduire une large clientèle en raison de coûts prohibitifs, exigeant parfois plus de 1 000 $ par certificat, alors que d’autres méthodes d’obfuscation de charges utiles plus abordables et fiables étaient encore disponibles.

L’activité des vendeurs criminels de certificats de signature de code contrefaits sur le dark web.

Environ deux ans plus tard, trois nouveaux acteurs ont commencé à offrir leurs services principalement dans l’underground d’Europe de l’Est. Alors qu’un acteur est finalement passé à d’autres opérations illicites, les deux autres acteurs fournissent encore activement des certificats contrefaits aux acteurs parlant russe.

Le deuxième acteur se spécialise dans les certificats de classe 3, qui n'incluent pas l'assurance de validation étendue (EV) et sont disponibles au prix de 600 $, tandis que le troisième acteur offre la gamme de produits la plus large.

Les certificats de signature de code standard émis par Comodo qui n'incluent pas l'évaluation de réputation SmartScreen coûtent 295 $. Un acheteur intéressé par la version la plus fiable d'un certificat de véhicule électrique délivré par Symantec devrait débourser 1 599 $, soit une prime de 230 % par rapport au prix du certificat authentique. Pour ceux qui souhaitent acheter en gros, des domaines entièrement authentifiés avec chiffrement SSL EV et capacités de signature de code peuvent également être fournis pour 1 799 $.

Annonce de produit par un acteur malveillant.

D’après les informations fournies par les deux vendeurs lors d’une conversation privée, afin de garantir la délivrance et la durée de vie des produits, tous les certificats sont enregistrés au nom de véritables entreprises. Nous sommes convaincus, avec un degré de certitude élevé, que les propriétaires légitimes des entreprises ignorent que leurs données ont été utilisées dans le cadre d'activités illicites. Il est important de noter que tous les certificats sont créés individuellement pour chaque acheteur, avec un délai de livraison moyen de deux à quatre jours.

Analyse technique

Les deux acteurs ont reconnu qu'en raison des mesures de sécurité avancées utilisées dans le navigateur Chrome — considéré comme offrant une excellente sécurité —, les clients doivent s'attendre à des taux de réussite d'intrusion nettement inférieurs à ceux des navigateurs Firefox, Internet Explorer et Safari.

Insikt Group a réussi à convaincre un fournisseur de mener un essai, en signant un exécutable de charge utile fourni d'un cheval de Troie d'accès à distance (RAT) non signalé auparavant avec un certificat Comodo récemment émis. Bien que les fichiers de test aient été cryptés au préalable, les résultats du test ont démontré la supériorité des versions signées.

Alors que seuls huit fournisseurs antivirus ont détecté avec succès la version chiffrée de la charge utile, seuls deux d’entre eux étaient efficaces contre la version signée par code. Des résultats plus inquiétants sont apparus après le même test effectué pour une version non résidente de la charge utile. Dans ce cas, seules six entreprises ont pu détecter une version chiffrée, et seule la protection Endgame a reconnu avec succès le fichier comme malveillant.

Outlook

Les dispositifs de sécurité réseau effectuant une inspection approfondie des paquets deviennent moins efficaces lorsque le trafic SSL/TLS légitime (certificat légitime) est initié par un implant malveillant. L'analyse Netflow (en-têtes de paquets) est un contrôle important pour réduire les risques, car les contrôles basés sur l'hôte peuvent également être rendus inefficaces par des certificats de signature de code légitimes.

Contrairement aux services de cryptage ordinaires facilement disponibles à 10-30 dollars par cryptage, nous ne prévoyons pas que les certificats contrefaits deviennent un élément courant de la cybercriminalité en raison de leur coût prohibitif. Toutefois, il ne fait aucun doute que des acteurs plus sophistiqués et des acteurs étatiques, impliqués dans des attaques moins généralisées et plus ciblées, continueront d'utiliser de faux certificats de signature de code et SSL dans leurs opérations.

Pour consulter les captures d’écran associées à cette analyse, Veuillez télécharger l'annexe.