Apakah perisian hasad yang Ditandatangani Kod dan bagaimana untuk mengelakkannya?

Penandatanganan kod ialah kaedah menggunakan tandatangan digital berasaskan sijil untuk sekeping perisian supaya sistem pengendalian dan pengguna boleh menentukan keselamatannya. Hanya perisian yang betul boleh menggunakan tandatangan digitalnya yang sepadan.

Pengguna boleh memuat turun dan memasang perisian dengan selamat dan pembangun melindungi reputasi produk mereka dengan menandatangani Kod. Walau bagaimanapun, penggodam dan pengedar perisian hasad menggunakan sistem yang tepat itu untuk mendapatkan kod hasad melalui suite antivirus dan program keselamatan lain . Jadi apakah itu perisian hasad yang ditandatangani Kod dan bagaimana ia berfungsi?

• Alih keluar sepenuhnya perisian hasad (perisian hasad) pada komputer Windows 10
• 10 jenis Perisian Hasad paling berbahaya untuk akaun bank
• Ketahui tentang perisian hasad polimorfik dan hiper-polimorfik

Apakah perisian hasad Code Signed?

Apabila perisian ditandatangani secara digital, ini bermakna ia mempunyai tandatangan digital rasmi. Pihak Berkuasa Sijil mengeluarkan sijil kepada perisian untuk menentukan bahawa perisian itu sah dan selamat untuk digunakan.

Pengguna tidak perlu risau kerana sistem pengendalian akan menyemak sijil dan mengesahkan tandatangan digital tersebut. Sebagai contoh, Windows menggunakan rantaian sijil yang mengandungi semua sijil yang diperlukan untuk memastikan perisian itu sah.

Rantaian sijil mengandungi semua sijil yang diperlukan untuk memperakui entiti yang dikenal pasti oleh sijil akhir. Malah, ia terdiri daripada sijil terminal, sijil CA perantaraan dan sijil CA akar yang dipercayai oleh semua pihak dalam rantaian. Setiap sijil CA perantaraan dalam rantaian mengandungi sijil yang dikeluarkan oleh CA satu tahap di atasnya. CA akar mengeluarkan sijil untuk dirinya sendiri.

Setelah sistem siap dan berjalan, anda boleh mempercayai perisian, sistem tandatangan kod dan CA. Perisian hasad adalah perisian hasad, tidak dipercayai dan tidak mempunyai akses kepada Pihak Berkuasa Sijil atau menandatangani Kod.

Penggodam mencuri sijil daripada Pihak Berkuasa Sijil

Perisian antivirus mengetahui perisian hasad berniat jahat kerana ia memberi kesan negatif kepada sistem anda. Ia mencetuskan amaran, pengguna melaporkan masalah dan perisian antivirus boleh mencipta tandatangan perisian hasad untuk melindungi komputer lain menggunakan enjin antivirus yang sama.

Walau bagaimanapun, jika pencipta perisian hasad boleh menandatangani perisian hasad menggunakan tandatangan digital rasmi, proses di atas tidak akan berlaku. Sebaliknya, perisian hasad yang dinyanyikan Kod boleh memasuki sistem melalui laluan rasmi kerana perisian antivirus dan sistem pengendalian anda tidak mengesan apa-apa yang berbahaya.

Menurut penyelidikan Trend Micro, keseluruhan pasaran perisian hasad tertumpu pada menyokong pembangunan dan pengedaran perisian hasad yang ditandatangani Kod. Pengendali perisian hasad mempunyai akses kepada sijil sah yang digunakan untuk menandatangani kod hasad. Jadual di bawah menunjukkan jumlah perisian hasad yang menggunakan tandatangan Kod untuk mengelak perisian antivirus sejak April 2018.

Penyelidikan Trend Micro juga menunjukkan bahawa kira-kira 66% perisian hasad mempunyai tandatangan digital. Selain itu, terdapat beberapa jenis perisian hasad khusus yang mempunyai berbilang versi tandatangan digital seperti Trojan , penitis dan perisian tebusan .

Dari manakah datangnya sijil digital penandatanganan Kod?

Pengedar dan pembangun perisian hasad mempunyai dua cara untuk mencipta perisian hasad yang ditandatangani kod. Mereka mencuri sijil daripada Pihak Berkuasa Sijil dengan secara langsung atau memperoleh atau menyamar sebagai organisasi yang sah dan meminta sijil daripada CA.

Seperti yang anda lihat, CA bukanlah satu-satunya tempat yang disasarkan oleh penggodam. Pengedar yang mempunyai akses kepada sijil yang sah boleh menjual sijil yang ditandatangani secara digital yang dipercayai kepada pembangun dan pengedar perisian hasad.

Pasukan penyelidikan keselamatan dari Universiti Masaryk di Republik Czech dan Pusat Keselamatan Siber Maryland menemui empat organisasi yang menjual sijil Microsoft Authenticode kepada pembeli tanpa nama. Sebaik sahaja pembangun perisian hasad mempunyai sijil Microsoft Authenticode, mereka boleh menandatangani sebarang perisian hasad yang mungkin melalui tandatangan kod dan perlindungan berasaskan sijil.

Dalam beberapa kes lain, daripada mencuri sijil, penggodam akan menyusup ke pelayan binaan perisian. Apabila versi perisian baharu dikeluarkan, ia akan mempunyai sijil yang sah, penggodam mengambil kesempatan daripada proses ini untuk menambah kod berniat jahat.

Contoh perisian hasad yang ditandatangani kod

Jadi, apakah rupa perisian hasad yang ditandatangani Kod? Di bawah ialah tiga contoh jenis perisian hasad ini.

• Malware Stuxnet : Malware ini memusnahkan program nuklear Iran menggunakan dua sijil yang dicuri dan empat kelemahan sifar hari. Sijil ini telah dicuri daripada dua syarikat JMicron dan Realtek. Stuxnet menggunakan sijil yang dicuri untuk mengelakkan keperluan pengenalan baharu Windows bahawa semua pemandu memerlukan pengesahan.
• Pelanggaran pelayan Asus: Antara Jun dan November 2018, penggodam menembusi pelayan Asus yang digunakan oleh syarikat untuk menolak kemas kini perisian kepada pengguna. Penyelidikan di Kaspersky Lab menunjukkan bahawa kira-kira 500 ribu peranti Windows menerima kemas kini berniat jahat ini sebelum dikesan. Tanpa mencuri sijil, penggodam ini menandatangani sijil digital Asus yang sah untuk perisian hasad mereka sebelum pelayan perisian mengedarkan kemas kini sistem.
• Perisian jahat Flame: Varian perisian hasad modul Flame yang menyasarkan negara Timur Tengah, menggunakan sijil yang ditandatangani secara penipuan untuk mengelakkan pengesanan. Pembangun Flame menggunakan algoritma penyulitan yang lemah untuk memalsukan sijil digital tandatangan Kod, menjadikannya kelihatan seolah-olah Microsoft telah menandatanganinya. Tidak seperti Stuxnet, yang bertujuan untuk merosakkan, Flame ialah alat pengintip, mencari fail PDF, fail AutoCAD, fail teks dan lain-lain jenis dokumen industri penting.

Bagaimana untuk mengelakkan perisian hasad yang ditandatangani Kod?

Jenis perisian hasad ini menggunakan tandatangan Kod untuk mengelakkan pengesanan oleh perisian dan sistem anti-virus, jadi melindungi daripada perisian hasad yang ditandatangani Kod adalah amat sukar. Sentiasa mengemas kini perisian dan sistem anti-virus adalah penting, elakkan daripada mengklik pautan yang tidak diketahui dan semak dengan teliti dari mana pautan itu datang sebelum mengikutinya. Rujuk artikel Risiko daripada perisian hasad dan cara mengelakkannya .