Security: Malware mit legitimen Zertifikaten weit verbreitet

Aktuelle Forschungen werfen erneut ein schlechtes Licht auf den Umgang mit Zertifikaten. Fast 200 Malware-Proben sind mit legitimen digitalen Unterschriften ausgestattet gewesen. Damit kann die Schadsoftware Prüfungen durch Sicherheitssoftware bestehen.

Artikel veröffentlicht am ,
Duqu 2.0 nutzt gestohlene Zertifikate für die Installation seiner Treiber.
Duqu 2.0 nutzt gestohlene Zertifikate für die Installation seiner Treiber. (Bild: Kaspersky)

Nicht nur gefälschte digitale Unterschriften sind eine Gefahr, vielmehr scheint der Missbrauch legitimer Zertifikate weiter verbreitet als angenommen. Zu diesem Schluss kommt eine umfassende Untersuchung durch Forscher an der University of Maryland, die auf der ACM Conference on Computer and Communications Security (CCS) im texanischen Dallas vorgestellt wurde. Sie fanden heraus, das 189 Malware-Proben legitime Zertifikate enthielten und damit beispielsweise Windows User Account Control bei der Installation aushebeln können.

Stellenmarkt
  1. Consultant IT Security (m/w/d)
    Hays AG, Ulm
  2. ERP System Administrator (abas) (m/w/d)
    RAYLASE GmbH, Weßling/Oberpfaffenhofen
Detailsuche

Nebenbei ergaben die Forschungen, dass Stuxnet weitaus früher im Umlauf war als bisher bekannt. Stuxnet gilt als einer der ersten Würmer, der mit gestohlenen validen Windows-Treiber-Zertifikaten unterschrieben war. Bekannt wurde Stuxnet im Jahr 2010, die von Jmicron und Realtek entwendeten Zertifikate stammen aus dem Jahr 2003. Auch der Trojaner Duqu 2.0 nutzte gestohlene Zertifikate von Foxconn für die Installation seiner Treiber.

Mangelnde Transparenz

Anders als bei Zertifikaten, die Webseiten legitimieren, gibt es für die digitalen Unterschriften für Software keine zentrale Datenbank, die durchforstet werden kann. Das machte den Forschern die Arbeit für ihre aktuelle Untersuchung schwer und unterstreicht deren Bedeutsamkeit. Besonders verbreitet sind demnach einmalige Zertifikate, die bereits für die Legitimierung anderer Software verwendet wurden. Offenbar haben deren Besitzer die Kontrolle über ihre privaten Schlüssel verloren, oftmals ohne es zu bemerken.

Ein etwas kleinerer Prozentsatz missbrauchter Zertifikate geht auf die Fahrlässigkeit der Aussteller zurück, die offenbar nicht genügend Sorgfalt bei der Verifizierung des Antragstellers haben walten lassen. Einige Zertifikate wurden auf den Namen großer Unternehmen nach einem Identitätsdiebstahl ausgestellt.

Golem Akademie
  1. Linux-Systeme absichern und härten
    8.-10. November 2021, online
  2. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, online
  3. Penetration Testing Fundamentals
    17.-18. Januar 2022, online
Weitere IT-Trainings

Um die Auswirkungen des Zertifikatsmissbrauchs zu unterstreichen, untersuchten die Forscher auch, welche Sicherheitssoftware sich nicht nur durch legitime, sondern auch durch nachweislich illegitime Zertifikate austricksen ließ. Keines der AV-Programme erkannte sämtliche von den Forschern präparierte Malware-Proben. Die Forscher führen dieses Ergebnis unter anderem auf eine unzureichende Implementierung von Microsofts Authenticode-Spezifizierung zurück.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Kaufberatung
Macbook Air oder Macbook Pro und wenn ja, welches?

Apple macht es Kunden nicht leicht, das richtige Macbook zu finden. Wir geben Entscheidungshilfe.

Kaufberatung: Macbook Air oder Macbook Pro und wenn ja, welches?
Artikel
  1. Metaversum: Facebook plant wohl seine Umbenennung
    Metaversum
    Facebook plant wohl seine Umbenennung

    Einem Gerücht zufolge will Facebook seinen Firmennamen ändern. Der neue Name soll reflektieren, dass das Unternehmen mittlerweile mehr bietet.

  2. M1 Pro/Max: Dieses Apple Silicon ist gigantisch
    M1 Pro/Max
    Dieses Apple Silicon ist gigantisch

    Egal ob AMD-, Intel- oder Nvidia-Hardware: Mit dem M1 Pro und dem M1 Max schickt sich Apple an, die versammelte Konkurrenz zu düpieren.
    Eine Analyse von Marc Sauter

  3. In-Ears: Airpods 3 halten bei ausgeschaltetem Raumklang länger durch
    In-Ears
    Airpods 3 halten bei ausgeschaltetem Raumklang länger durch

    Die neuen Airpods 3 von Apple erreichen die angegebene Laufzeit von sechs Stunden nicht, wenn alle Funktionen aktiviert sind.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 16% auf SSDs & RAM von Adata & bis zu 30% auf Alternate • 3 Spiele für 49€: PC, PS5 uvm. • Switch OLED 369,99€ • 6 Blu-rays für 40€ • MSI 27" Curved WQHD 165Hz HDR 479€ • Chromebooks zu Bestpreisen • Alternate (u. a. Team Group PCIe-4.0-SSD 1TB 152,90€) [Werbung]
    •  /