NVIDIA拒絕支付贖金后 威脅者利用代碼簽署惡意軟件 可在Windows中加載

利用竊取過(guò)來(lái)的 NVIDIA 代碼，威脅者利用簽名證書(shū)來(lái)簽署惡意軟件，使其看起來(lái)值得信賴，并允許在 Windows 中加載惡意驅(qū)動(dòng)程序。本周，NVIDIA 公司證實(shí)，他們?cè)馐芰艘淮尉W(wǎng)絡(luò)攻擊，使威脅者得以竊取員工的證書(shū)和專有數(shù)據(jù)。
對(duì)本次泄露事件負(fù)責(zé)的勒索集團(tuán) Lapsus$ 表示，他們已經(jīng)竊取了 1TB 的數(shù)據(jù)，并在 NVIDIA 拒絕與他們談判后開(kāi)始在網(wǎng)上泄露這些數(shù)據(jù)。泄漏的數(shù)據(jù)包括 2 份被盜的代碼簽名證書(shū)，這些證書(shū)是 NVIDIA 開(kāi)發(fā)人員用來(lái)簽署其驅(qū)動(dòng)程序和可執(zhí)行文件的。
代碼簽名證書(shū)允許開(kāi)發(fā)人員對(duì)可執(zhí)行文件和驅(qū)動(dòng)程序進(jìn)行數(shù)字簽名，以便 Windows 和終端用戶能夠驗(yàn)證文件的所有者，以及它們是否被第三方篡改過(guò)。為了提高 Windows 的安全性，微軟還要求內(nèi)核模式的驅(qū)動(dòng)程序在操作系統(tǒng)加載之前必須進(jìn)行代碼簽名。
在 Lapsus$ 泄露了英偉達(dá)的代碼簽名證書(shū)后，安全研究人員很快發(fā)現(xiàn)，這些證書(shū)被用來(lái)簽署惡意軟件和威脅者使用的其他工具。根據(jù)上傳到 VirusTotal 惡意軟件掃描服務(wù)的樣本，被盜的證書(shū)被用來(lái)簽署各種惡意軟件和黑客工具，如 Cobalt Strike 信標(biāo)、Mimikatz、后門和遠(yuǎn)程訪問(wèn)木馬。
例如，一個(gè)威脅者用該證書(shū)簽署了一個(gè) Quasar 遠(yuǎn)程訪問(wèn)特洛伊木馬[VirusTotal]，而另一個(gè)人用該證書(shū)簽署了一個(gè) Windows 驅(qū)動(dòng)程序[VirusTotal]。雖然這 2 個(gè)被盜的英偉達(dá)證書(shū)都已過(guò)期，但Windows仍然允許在操作系統(tǒng)中加載用這些證書(shū)簽名的驅(qū)動(dòng)程序。
文章轉(zhuǎn)載自cnBeta.COM