Авторы вредоносов активно используют краденные сертификаты для подписи

Олег Иванов 03 Декабря 2018 - 10:48

...

Авторы вредоносов активно используют краденные сертификаты для подписи

Авторы вредоносных программ активно используют украденные цифровые сертификаты для подписи кода, к такому выводу пришли специалисты Мэрилендского университета в ходе своих последних исследований.

Подписанные скомпрометированными сертификатами вредоносы имеют гораздо больше шансов обойти защитные механизмы, которые принимают наличие подписи за гарантию легитимности софта.

Многие знаменитые вредоносные программы распространялись с использованием сертификатов для подписи кода. Например, тот же Stuxnet использовал именно такую тактику. Или вредоносная версия CCleaner — то же самое.

Исследователи Мэрилендского университета обнаружили 72 скомпрометированных сертификата, проанализировав собранные Symantec данные.

«Большинство этих кейсов компрометации ранее нигде не всплывали. А две трети вредоносных программ, чьи семплы подписаны с использованием этих сертификатов, до сих пор актуальны», — говорит один из специалистов Тудор Димитрас.

«Также мы нашли 27 сертификатов, выданных киберпреступникам, которые выдаются за сертификаты от легитимных компаний вроде корейского сервиса доставки, которому вообще не требуется подписывать код, так как компания не имеет отношения к разработке софта».

По словам экспертов, злоумышленникам требуется всего лишь скопировать authenticode-сигнатуру из легитимного файла и вставить во вредоносный семпл. Это позволит обойти детектирования антивирусными программами.

«Таким способом можно обойти детекты 34 известных антивирусных продуктов. Что самое печальное — эти вредоносы встречаются в реальных атаках», — продолжает исследователь.

С полным отчетом специалистов Мэрилендского университета можно ознакомиться по этой ссылке (PDF).

Следующая главная новость »

Identity Security 2026: как защитить доступ до компрометации?
Регистрируйтесь на эфир!

Екатерина Быстрова 18 Марта 2026 - 08:50

Взлом программ Общее Системы сетевой криминалистики

Взлом MAX через «Мобильный криминалист» назвали вбросом

История с якобы взломом национального мессенджера MAX получила продолжение. На фоне сообщений, которые разошлись по телеграм-каналам, гендиректор компании «ИТ-Резерв» Павел Мясоедов заявил, что такие вбросы больше похожи не на разоблачение, а на попытку испортить репутацию платформы и создать вокруг неё негативный фон.

Ранее в Сети начали распространять утверждения о том, что некий софт якобы позволяет получить доступ к контактам, чатам, каналам, вложениям и другой информации пользователей MAX.

Однако в самом мессенджере эти сообщения опровергли: центр безопасности платформы заявил, что сведения о доступе к сервисам и инфраструктуре MAX не соответствуют действительности, а информация о «взломе» и «утечке» недостоверна.

Похожую позицию ранее озвучивали и в Минцифры, когда в Сети появлялись сообщения о якобы слитой базе пользователей MAX.

По словам Мясоедова, упомянутые в обсуждении инструменты вообще создавались для других задач и к слежке за мессенджерами отношения не имеют. Он считает, что разговоры о «взломе» выглядят как не слишком убедительная попытка очернить сервис, который быстро набирает аудиторию.

Во всей этой истории важен один момент: пока речь идёт именно о громких заявлениях в каналах и комментариях вокруг MAX, а не о подтверждённом инциденте.

Публично доступных доказательств того, что инфраструктура мессенджера действительно была скомпрометирована, представлено не было, а официальная позиция платформы и профильных структур сводится к тому, что сообщения о взломе являются фейком.

Напомним, в начале месяца злоумышленники начали массовую кампанию в MAX по распространению Mamont. Зловред рассылали через домовые и родительские чаты, а также сообщества дачных поселков.

Identity Security 2026: как защитить доступ до компрометации?
Регистрируйтесь на эфир!