Code Signing сертификат - это фактически подпись разработчика программного обеспечения, которая подтверждает, что с момента её наложения код никоим образом не изменялся. Наличие Code Signing сертификата у определенной программы повышает доверие к ней со стороны Windows.
Если же цифровой подписи у приложения нет, то при его запуске начиная с Windows XP будет выводиться предупреждение. Зная этот факт злоумышленники начали копировать сертификаты с безопасных программ на вредоносные. Широкую популярность этот способ получил благодаря группировке C@T, которая в марте 2015 года запустила на форуме Antichat продажу сертификатов Microsoft Authenticode. По их заявлениям подпись вируса таким сертификатом повышает количество установок на 30-40%.
Как это все реализуется на практике? Существует инструмент SigThief, который копирует подпись с одного исполняемого файла на другой. Рассмотрим его поподробней.
Установка
Данный эксплоит работает на Windows.
Скачиваем репозиторий по ссылке и разархивируем.
Использование
Для подписания вредоносного файла потребуется файл-донор. Им может выступать любая системная программа Windows с сертификатом, наличие которого можно проверить в "Свойствах", вкладка "Цифровые подписи".
Для копирования подписи вводим команду
sigthief.py -i <файл с подписью> -t <вирус> -o <куда и под каким названием сохранить подписанный файл>Для примера подпишем RAT
sigthief.py -i C:\Windows\System32\consent.exe -t rat.exe -o notrat.exeГотово! Наличие подписи можно проверить в свойства созданного файла.
#хакинг
