Fałszywy antywirus ze skradzionym podpisem cyfrowym
Firma Bitdefender informuje, że natknęła się na próbki produktu Antivirus Security Pro – fałszywego antywirusa, korzystającego ze skradzionych podpisów cyfrowych.
Dokładniej, plik instalatora udostępniony w internecie został podpisany przy wykorzystaniu certyfikatu cyfrowego wydanego 22 listopada ubiegłego roku dla Ease Entertainment Services, LLC. Podpis elektroniczny jest wciąż ważny (nie został unieważniony). Najprawdopodobniej został skradziony.
Chociaż certyfikat cyfrowy ma obowiązywać jeszcze przez rok (wygasłby naturalnie 22.11.2014), cyberprzestępcy nie starali się przedłużyć jego ważności za pomocą sygnatury czasowej, zapewne spodziewając się, że prywatny klucz wkrótce zostanie unieważniony. Skradzione certyfikaty nakręcają czarnorynkowy biznes, ale ze względu na wrażliwy charakter takiego naruszenia, zazwyczaj anulowane są bardzo szybko.
To nie jedyna rodzina fałszywych antywirusów wykorzystująca skradzione poświadczenia elektroniczne: nieco wcześniej program WinWebSec podszywał się pod certyfikat wydany dla Ingenieursbureau Matrix B.V. Podpis wkrótce został unieważniony, gdy nadużycie wyszło na jaw, ale setki cyfrowo podpisanych złośliwych programów znalazły się w sieci.
Cyfrowo podpisana aplikacja (po lewej) i zwykły plik wykonywalny (po prawej) próbują uzyskać uprawnienia administracyjne. Komunikaty UAC różnią się od siebie.
Dlaczego podpis cyfrowy jest tak ważny?
Podpisane cyfrowo aplikacje zapewniają (albo powinny zapewniać) integralność i wiarygodność powiązanego kodu. Cyfrowo podpisane pliki pochodzą od znanych, sprawdzonych producentów, którzy zostali uznani za godnych zaufania przez urzędy certyfikacji. Z tego powodu niektóre programy antywirusowe pomijają cyfrowo podpisane pliki, by poprawić wydajność skanowania.
Ponadto, nowoczesne systemy operacyjne inaczej traktują cyfrowo podpisane pliki przy próbach wykonania modyfikacji systemowych. Żądania niepodpisanych aplikacji, próbujących podnieść swoje uprawnienia, bardziej zwracają uwagę użytkowników.
Przedstawiciele firmy Bitdefender zgłosili fakt nadużycia i dostarczyli dotkniętej jednostce dalszych informacji związanych z unieważnieniem certyfikatu. Użytkownikom zaleca się pobieranie plików jedynie z zaufanych źródeł, bez względu na to, czy posiadają one cyfrowy podpis, czy nie.
