Rootkits mit von Microsoft ausgestellter gültiger digitaler Signatur werden häufiger
21. Oktober 2021
Die Experten der Bitdefender-Labs haben mit FiveSys ein neues Rootkit identifiziert, welches eine eigene, von Microsoft ausgegebene und gültige digitale Signatur verwendet, anstatt gestohlene Signaturen zu missbrauchen. Indem die Hacker eine neu ausgestellte Microsoft-Signatur verwenden, verfolgen sie einen völlig neuen Weg. Denn bisher verwendeten sie von anderen Unternehmen gestohlene Signaturen, um ihre Malware als legitim und glaubwürdig zu erklären. Dieses Vorgehen wurden in den letzten Monaten verstärkt beobachtet. Bitdefender hat Microsoft über den Missbrauch informiert, worauf diese Signatur nach kurzer Zeit zurückgerufen wurde.
In den letzten Monaten haben Bitdefender-Experten verstärkt beobachtet, wie bösartige Treiber mit gültigen digitalen Signalen, die im Rahmen des Microsoft WHQL-Signaturprozesses ausgegeben wurden, sich stärker verbreiten. Die seit einem Jahr beobachteten Aktivitäten haben ihren Ursprung in China.
Sie beschränken sich zurzeit auf das Land und auf am dortigen Markt erhältliche Spiele und verfolgen wirtschaftliche Ziele. Die Experten gehen davon aus, dass verschiedene Urheber hinter diesen Angriffen stehen. Dafür spricht, dass die verwendeten Tools dieselben Funktionalitäten teilen, aber unterschiedlich implementiert sind.
Die Hauptaufgabe des Rootkit ist es, Internet-Verkehr auf einen eigens eingerichteten Proxy-Server umzuleiten. Dafür verwendet der Treiber lokal ein Skript zur Proxy-Autokonfiguration für den Browser.
Vorsicht vor digitalen Signaturen für Malware
Die Experten gehen davon aus, dass Angreifer in Zukunft verstärkt digitale Microsoft-Signaturen zum Tarnen ihrer Malware verwenden werden. Ein Hauptgrund für diese neue Taktik dürften die neuen Vorgaben von Microsoft zum Signieren von Treibern sein: Diese verlangen eine digitale Signatur von Microsoft für alle Treiber, ehe das Betriebssystem diese akzeptiert.
Das stellt sicher, dass die Treibersoftware vom Verkäufer des Betriebssystems validiert und signiert wird. Dadurch bieten digitale Signaturen aber keinerlei Hinweise mehr auf die tatsächlichen Entwickler. Eine zusätzliche Gefahr, die sich daraus ergibt: Die Microsoft-Signaturen für vermeintliche Treiber dürften viele Anwender täuschen, so dass sie die Installation einer Malware mit fälschlicherweise gutem Leumund akzeptieren.
Die Aktivitäten von FiveSys oder von Netfilter, dem als erstes entdeckten Rootkit mit einer gültigen digitale WHQL-Signatur, zeigen, dass Hacker einen Weg gefunden haben, die Microsoft-Vorgaben für das Erstellen eines Zertifikates zu umgehen. Von Einzelfällen ist nicht auszugehen. Vielmehr wird weitere Schadsoftware in Zukunft eigens ausgestellte digitale Signaturen verwenden.
Digitale Signaturen, welche eigentlich die Legitimität einer Software dokumentieren und Vertrauen schaffen sollen, helfen in diesem Fall also Angreifern, die Restriktionen für das Laden von Modulen von Drittanbietern in den Kernel des Betriebssystems zu umgehen. Nach der erfolgreichen Installation eines Rootkit können die bösartigen Entwickler praktisch uneingeschränkte Privilegien nutzen.
Rootkit-Risiken
Vor mehr als einem Jahrzehnt waren Rootkits die Speerspitze der Cyber-Kriminalität. Diese geheimen Programme wurden entwickelt, um Angreifern einen ständigen Platz auf den Opferrechnern zu verschaffen und deren Aktivitäten vor dem Betriebssystem sowie vor Antimalware-Lösungen zu verbergen. Die Schadsoftware im Kernel des Betriebssystems verbreitet sich offenbar wieder, nachdem sie zuletzt durch die Sicherheitsmechanismen in Betriebssystemen zurückgedrängt worden war. (rhh)
