Gestolen certificaat vpn-provider gebruikt voor signeren van malware

[Captain Kirk]

Een bij vpn-provider Ivacy gestolen private key voor het signeren van software is door aanvallers gebruikt voor het signeren van malware, zo meldt securitybedrijf SentinelOne. Het certificaat is inmiddels door certificaatautoriteit DigiCert ingetrokken. Eind mei maakten onderzoekers op X al melding dat er malware was gesigneerd met een certificaat van Ivacy. Softwareontwikkelaars kunnen hun software signeren, zodat die bijvoorbeeld door het besturingssysteem of beveiligingssoftware wordt vertrouwd. In het geval van ongesigneerde software kan het besturingssysteem een waarschuwing laten zien of vereisen dat er extra stappen voor de installatie zijn vereist.

Een code signing certificaat bestaat uit een private en public key. Volgens onderzoeker Aleksandar Milenkoski is het waarschijnlijk dat de private key van Ivacy, die vereist is om de eigen software te signeren, op een gegeven moment is gestolen. Het komt vaker voor dat aanvallers signing keys stelen. In het geval van Ivacy is de key in handen gekomen van een groep aanvallers met de naam 'Bronze Starlight'. Deze groep heeft spionage als primair doel, waarbij het ransomware-aanvallen als afleidingsmanoeuvre gebruikt, stelt Milenkoski.

Volgens de onderzoeker is malware gesigneerd met het Ivacy-certificaat ingezet tegen gokbedrijven in Zuidoost-Azië. Hoe de key en certificaat bij Ivacy konden worden gestolen is niet bekend. "Vpn-providers zijn een belangrijk doelwit, aangezien ze aanvallers toegang tot gevoelige data en communicatie van gebruikers kunnen geven", aldus Milenkoski.

 

bron: https://www.security.nl