Хакеры подписывают вредоносы с помощью Microsoft Trusted Signing

Хакеры подписывают вредоносы с помощью Microsoft Trusted Signing

Хакеры подписывают вредоносы с помощью Microsoft Trusted Signing

Киберпреступники используют платформу Microsoft Trusted Signing для подписи вредоносных программ с помощью краткосрочных сертификатов, действующих всего три дня.

Исследователи в области кибербезопасности заметили рост числа вредоносных образцов, подписанных через облачный сервис Microsoft.

Злонамеренные файлы, подписанные сертификатом «Microsoft ID Verified CS EOC CA 01», получают повышенный уровень доверия и могут обходить антивирусные продукты и фильтры безопасности.

Несмотря на то что сертификаты действительны лишь три дня, подписанные исполняемые файлы считаются легитимными до момента, пока Microsoft не отзовет соответствующий сертификат.

Злоумышленники используют эту схему в различных кампаниях, включая похищение криптовалюты (кампания Crazy Evil Traffers — детекты на VirusTotal) и распространение похитителя данных Lumma Stealer (детекты на VirusTotal).

Источник: BleepingComputer

 

Запущенный в 2024 году сервис Trusted Signing задумывался как простое и безопасное решение для разработчиков с платой $9,99 в месяц. Платформа использует краткосрочные сертификаты, которые можно быстро отозвать, и не передает их напрямую пользователям, что должно предотвратить неправомерное использование.

Однако, по словам экспертов, злоумышленники предпочитают сервис Microsoft из-за более простого процесса получения сертификатов по сравнению с сертификатами расширенной проверки (EV), которые ранее считались золотым стандартом.

Несмотря на предпринимаемые Microsoft меры по отслеживанию и отзыву скомпрометированных сертификатов, проблема остается актуальной, поскольку постоянно появляются новые сертификаты.

Представители Microsoft заявили, что компания активно мониторит угрозы и оперативно отзывает сертификаты при обнаружении использования их во вредоносных целях.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В продукте Security Vision VM появились blackbox и автономный агент

Security Vision представила обновлённую версию продукта для управления уязвимостями (VM), в которую вошёл ряд новых возможностей. Теперь система поддерживает blackbox-сканирование, может работать через автономного агента и расширяет покрытие платформ за счёт новых операционных систем.

Основные нововведения

В режиме blackbox система сканирует сервисы без использования учётных данных, определяя уязвимые версии программного обеспечения на хостах.

Такой подход позволяет находить уязвимости в популярных сервисах вроде OpenSSH, OpenSSL, Nginx, Apache, PHP, LDAP, MSSQL, PostgreSQL, Oracle, MySQL и других — без предварительного доступа к целевым системам.

Добавлен автономный агент, который устанавливается на изолированные или удалённые хосты. При появлении соединения с корпоративной сетью агент автоматически получает задания на сканирование и отправляет результаты обратно. Это позволяет охватывать даже те активы, к которым нет постоянного доступа.

В части платформенной поддержки появилась возможность сканировать iOS-устройства, а также дистрибутивы Linux SUSE, Alpine и Solaris.

Дополнительные улучшения

  • В режиме pentest появились новые проверки для SNMP, SSH, Telnet, SSL/TLS, RCE и web-уязвимостей.
  • Расширены возможности по использованию кастомных словарей для bruteforce.
  • В карточке уязвимости теперь отображаются альтернативные методы устранения (workaround), например, для уязвимостей Microsoft.
  • Реализована функция построения маршрутов достижимости активов с использованием данных из ACL и таблиц маршрутизации сетевых устройств (UserGate, «Континент», Cisco и др.). Это помогает оценить риски продвижения злоумышленника внутри сети.

Обновлённая версия направлена на повышение гибкости работы с уязвимостями и расширение контроля за защищённостью в корпоративных инфраструктурах — в том числе при наличии ограниченного доступа к хостам и разнообразной ИТ-среды.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru