コード署名
変革の前夜•−−−−−•

2 | ©2023 Trend Micro Inc.

2022年はコード署名受難の年でした••

有効な署名付きドライバ悪用のレポートが続いた
QAKBOTが有効な署名付き不正モジュールを配布
DateThreat Actor

Key Point of Abuse

VictimNote

2022/5

AvosLocker
Ransomware

脆弱な署名ドライバを持ち込みアンチウイ
ルスソフトを停止

Avast

Link

2022/7QAKBOT

悪用された複数の証明書は攻撃者に直接発行されている可能性あり

Microcompanies

Link

2022/8Cuba
Ransomware

LAPSUSがリークしたNVIDIAの証明書と秘密鍵で署名したドライバを持ち込みアンチウイルスソフトを停止

NVIDIA

Link

2022/8A ransomware
actor

脆弱な署名ドライバを持ち込みアンチウイ
ルスソフトを停止

Genshin Impact

Link

2022/9Lazarus

脆弱な署名ドライバを持ち込みモニタリング機能を停止

Dell

Link

2022/12POORTRY &STONESTOP

特定の開発者プログラムアカウントが不正なドライバを作成し署名を受けた

Microsoft

Link1, Link2,Link3, Link4

3 | ©2023 Trend Micro Inc.

多様なコード署名悪用のシナリオ(観測されたもの)
SEQ

Compromised Part

Key Point of Abuse

1

署名付きモジュール

脆弱な署名付きドライバの活用：BYOVD(Bring Your Own Vulnerable Driver)2

サプライチェーン

サプライチェーンの危殆化で継続的インテグレーションの中に悪性コードが混入

3

サプライチェーン

開発者プログラムアカウントが不正なドライバを正規のドライバとして作成

4

秘密鍵

正規に発行された証明書と秘密鍵の盗難、リーク

5

RAの一部

攻撃者が他人が所有する実在の企業になりすまして証明書発行を受けている可能性がある。(まだ調査中)

6

RAの一部

攻撃者が会社を用意して証明書発行を受ける

7

アルゴリズムMD5ハッシュ値の衝突による証明書の偽造

CAのCompromiseはまだない：2011年にWebPKIで起きた、攻撃者がRAを掌握してCAから発行を受ける事例(例: Comodo,DigiNotar)はコード署名証明書に対してはまだ見られないが、2022年現在ではドライバ署名を得ることへの攻撃者のモチベーションが高まっているため次があればそれは起こるだろうと予見される。

4 | ©2023 Trend Micro Inc.

改めて照らされる問題点①• コード署名悪用ではおそらくみなさんの期待通り機能しない証明書失効−

失効しないよりしたほうがましであることは確かだが−正規の証明書で署名された正規のモジュールが悪用されるシナリオでは秘密鍵が危殆化していないため(現行の運用では)証明書は失効されない可能性が高い−

仮に証明書が失効されたとしても、コンピュータ上での実行が証明書失効の検証によりブロックされるかどうかはコンディション次第−「証明書失効されたモジュールが組織内のすべてのコンピュータで実行されないこと」を検証し自信を持つことが難しい−

CABFでの「Malware based revocation」の議論 (2022/6～2022/12、可決されたが未マージ)

5 | ©2023 Trend Micro Inc.

•

失効事由確認後、CAからサブスクライバへの連絡が「1営業日」だったものを「24時間」へ変更するなどよりプラクティカルな運用を目指している様子•

署名ドライバの悪用やSolarWinds事例を例にどうするかも議論されたが次の事例で具体的にどうなるかの言及はなし•

このテーマについて議論している2022/12/01の議事録は見ごたえあり改めて照らされる問題点②• 証明書発行プロセスの悪用が疑われる− 1枚かごく少数の盗まれた証明書をAPTで使われるのがコード署名悪用のよく知られるシナリオだったが…

− 2022年7月ごろ、QAKBOTによる有効な署名付きモジュールの配布が確認され、詳しく調べると7枚の証明書利用を確認した− 悪用された証明書の内容を確認すると奇妙な点があり、攻撃者が身分証を偽るなどしてCAから直接証明書発行を受けている可能性を考えさせる

6 | ©2023 Trend Micro Inc.

.co (Colombia TLD)

Micro companies
in UK

Same
username
Issued tofarmer
Same CA

Comparison of two certificates abused by QAKBOT.
Suspicious points are marked with a balloon.
8 | ©2023 Trend Micro Inc.

9 | ©2023 Trend Micro Inc.

Using the same default page withdifferent domain names,
and no hosted any contents

Comparison of two domain name in the certificates abused by QAKBOT.
10 | ©2023 Trend Micro Inc.

Comparison of two domain name in the certificates abused by QAKBOT.

Using the samename server

11 | ©2023 Trend Micro Inc.

証明書発行プロセスの悪用が疑われる• 今回例示した2つの証明書の申請者は同じある可能性が高い• 他の可能性として例えば、地域のソフトウェア開発会社がこの2つの会社のシステム開発を請け負って代わりにコード署名証明書の発行を受けた後それを盗難されたシナリオが考えられる
が、コード署名に興味があるのにWebサイトをホストしていないのは奇妙に思える• 現在調査中

12 | ©2023 Trend Micro Inc.

Revisit the History of abuse code signing
Date

Threat Actor

Key Point of Abuse

Victim2010

Stuxnet

有名企業から盗難された秘密鍵の使用

Realteck, JMicron

Link

2012

Flame

未知の探索手法による
MD5ハッシュ値の衝突

Microsoft

Link1, Link2

2013

Zbot, Qakbot

PKCS#12形式で証明書と秘密鍵をダンプする機能ありとレポート

?

Link

2014

Destover

秘密鍵が盗難されその後マルウェア署名に利用されたSony Pictures
EntertainmentLink

2015

menuPass

リークされた秘密鍵がマルウェア署名に利用された

HackingTeam

Link

2019

NefilimRansomware

出所不明の証明書で署名されたモジュールを使用

A healthcarecompany

Link

2020

RobinhoodRansomware

脆弱な署名ドライバで未署名ドライバを読み込みプロセス停止

GIGABYTE

Link

そして2022年へ・・・
13 | ©2023 Trend Micro Inc.

Note

いま変革が求められている• 悪用は簡単ではないが、頑張ればできてしまうことが示され続けている• 署名付きドライバのAbuseは攻撃者にとってスイートスポットになっている。特にランサムウェアアクターはアンチウイルスソフトなどのセキュリティ製品を停止させるベネフィットを大きくとらえていると想像させる。
2022年でムードが変わったと感じる。
• PKIはずっと受難続きだが、その中でもここ数年のコード署名を襲う脅威は本当に苦しいものばかり• Abuseはこれからも続くことが予見され、変革の前夜だがまだ全然夜が明ける気配がない

14 | ©2023 Trend Micro Inc.

今後の展望••••••

コード署名証明書の発行プロセスにもCTが導入されればWebPKIが先に乗り越えてきた問題には対処できるようになるが、現在のところ検討されている様子はない
CABF CSBRが「Malware based revocation」の変更を取り込んだ後、失効に関する運用が変化する可能性があるため要観察。しかし失効検証が難しい点には変化はない
秘密鍵の盗難・リークや攻撃者が証明書発行を受ける方法での悪用については、2023/6
からコード署名証明書の発行にはハードウェアトークンが必須となるため、秘密鍵ごとPKCS#12ファイルに保管できる現在よりは悪用が減る可能性はある「ストア方式」は安全確保の面で魅力があるがプラットフォームの力が強くなる
サプライチェーンの危殆化への備えも含め、コードインテグリティについて新しい仕組みが導入され始めているが適用範囲はまだ広くない−Binary Transparency−

sigstore

この流れが、従来型のPKIによるコード署名からサプライチェーン全体で登場するアーティファクトの検証を可能にしインテグリティを確保するという方向性への変革の萌芽となるか

15 | ©2023 Trend Micro Inc.

©2023 Trend Micro Inc.