| 乱世木马重回战场，360安全大脑独家追踪签名冒用危机
数字签名是网络世界信息文档的“身份证”，可当“身份证”被不法分子冒用，万千用户所面临的危险可想而知。
近日，360安全大脑独家发现冒用数字签名的网络攻击再度活跃，且继此前360安全大脑披露过的Go Daddy、Starfield Secure、赛门铁克、Verisign和DigiCert等国际知名CA证书颁发机构，Sectigo RSA Code Signing CA纷纷沦陷，成为不法攻击者冒用的新目标。
与以往披露信息略显不同的是，此次发现的数字签名冒用活动，均为Disc soft盘软、SRS labs inc音频技术等境外公司，且签名程序袖里藏刀。释放白利用文件，藏身正常程序，博彩网站诱导钓鱼三管齐下，上演了又一场大型信任危机。
冒用数字签名以假乱真
“乱世木马”或卷土重来
从360安全大脑近期捕获的冒用数字签名样本来看，冒用的数字签名多是公司官方注册的数字签名串。在冒用方式上，木马作者主要通过伪造公司资料向签发机构申请数字证书，而这也就导致验证签发证书样本时，虽显示为正常签名信息，实际却为木马程序的情况。
文章图片
在梳理捕获的冒用数字签名样本后，360安全大脑发现多以国外知名公司为主，且数字签名均由“Sectigo RSA Code Signing CA”签发机构颁发。
文章图片
需要注意的是，360安全大脑在捕获样本中发现，部分冒用数字签名会释放一组白加黑程序，其中dll文件就是木马，具体示例如下图中QLMainModule.dll文件。
文章图片
在释放白加黑程序的数字签名冒用样本外，还有部分会在正常软件中加入或替换一劫持的DLL模块，从而在捆绑木马后，进行二次打包并打上数字签名，最终将木马安装包伪装成正常软件。
文章图片
对上述两种打包方式的木马进行分析后，360安全大脑确认，此次冒用数字签名扩散的木马系“乱世”木马家族。在具体感染路径上，本次的木马会在释放文件后，调用白文件加载木马dll，并创建C:\\Windows\\System32\\wextract.exe进程，向该进程注入远控客户端执行。接下来，就会连接远程控制服务器“dyx.yxwza.org”，并根据接收的控制码执行相应操作。至此，不法分子可在服务端远程随意操控受害者电脑。
文章图片
聊天群精准投“毒”
溯源揭穿木马作恶老底
综合来看，不法分子冒用数字签名，一方面是用于签发诱导性木马程序，另一方面则是签发捆绑木马程序。360安全大脑对木马进行溯源后发现，诱导钓鱼类程序主要在IM 即时聊天工具上传播，捆绑木马类程序则主要在博彩网站上传播。
文章图片
利用IM 即时聊天工具出扩散木马时，木马作者会将伪装程序定向投放到个人用户或各类聊天群，以工作资料和工具文件为名，诱导特定人群点击运行。
文章图片
至于通过博彩网站进行传播的捆绑木马类程序，则是以钓鱼的形式进行扩散，当用户登陆后会诱导用户下载安装木马程序。
文章图片
【| 乱世木马重回战场，360安全大脑独家追踪签名冒用危机】需要注意的是，360安全大脑溯源发现，该木马作者会在网络售卖远控木马，且持续更新exe、chm等免杀木马和控制端功能。下图是木马作者发布在个人空间，部分控制受害用户电脑的效果图。
文章图片
签名冒用层出不穷
3 60 安全大脑强势出击
近年来，签名冒用攻击层出不穷，不法分子不断更换新的数字签名和颁发机构作恶的背后，给数字签名带来了极大的信任危机。从2016年冒用“暴风影音”等签名签发木马，到现如今冒充国外知名企业数字签名，并利用签名、图标等双重伪装隐蔽作乱，亟需广大用户提高安全意识。
目前，360安全卫士已对此类木马进行拦截查杀。同时，针对此类数字签名冒用威胁，360安全大脑给出如下安全建议：
1、及时前往weishi.360.cn，下载安装360安全卫士，强力拦截查杀各类病毒木马;
2、软件拥有数字签名并不代表绝对安全，提高安全意识，建议从360软件管家等正规渠道下载软件;
3、对于杀毒软件报毒的程序，不要轻易添加信任或退出杀软运行。
文章图片
推荐阅读
- 武汉大学人民医院|抗疫医护重回战地，79岁患者第一次看清救命恩人的样子
- 商丘|升温走起！本周商丘最高温重回20℃！
- 地球|科学家警告：地球可能发生颠覆性转变！大气氧含量重回24亿年前
- 医学|看康复医学如何让患者“病而不残，残而不废”，重回生活轨道
- 收盘|美股收盘：避险资金重回科技股 三大指数集体收涨
- 乱世王者|九鼎韬略｜10分钟锁定战局？九鼎开局战术教你先发制人！
- 久违了！国乒47岁教练重回赛场，助孙颖莎4-0淘汰华裔名将
- 杨鸣行为太恶劣？宁愿安排11人也不让他上场，重回青年队有私心
- 俄儿村|张睿重回湖南卫视演绎《青春在大地》搭李诚儒演技获赞
- 老we|初代WE成员重回赛场？若风组建LOL手游俱乐部，厂长依旧心系LPL