Microsoft ha revocato 13 certificati per sviluppatori precedentemente scaduti che erano stati utilizzati per firmare driver dannosi. Fa parte di una nuova ondata di attacchi malware che sfruttano un modo relativamente nuovo per aggirare il sistema di sicurezza di Windows, scrive Ars Tecnica.
I ricercatori di sicurezza di Cisco Talos hanno fatto la scoperta e stanno scrivendo dei risultati dopo aver concesso a Microsoft il tempo di risolvere il problema revocando i certificati sfruttati. Tuttavia, Microsoft non può fare nulla per una fondamentale mancanza di sicurezza senza rendere contemporaneamente inutilizzabili diversi vecchi programmi ancora in uso.
Gli hacker dietro il nuovo malware sfruttano una funzionalità in una funzionalità di sicurezza di Windows che di solito richiede che i driver siano firmati con un certificato sviluppatore e un certificato Microsoft firmato. Per i driver che sono stati firmati con un certificato sviluppatore valido prima del 29 luglio 2015, quest’ultima regola non si applica, in quanto causerebbe l’interruzione del funzionamento di tutti i driver rilasciati prima di tale data.
Due strumenti sviluppati per hackerare i giochi e aggirare la protezione DRM, “Hooksigntool” e “Fuckcertverifytimevalidity”, possono firmare i driver con date false, che a loro volta consentono l’installazione senza la firma di Microsoft. I nuovi sviluppatori di malware lo usano per dare loro poteri aggiuntivi nel sistema.
Il malware utilizza altri metodi per infettare prima il computer e ottenere i privilegi di amministratore, quindi installa driver con date di firma false per ottenere i privilegi del kernel. Fino a quando Microsoft non troverà, se possibile, una soluzione definitiva, la migliore difesa contro questo tipo di attacco è un buon programma antivirus che blocca l’infezione originale.
“Evangelista della musica. Fanatico del cibo malvagio. Ninja del web. Fan professionista dei social media. Maniaco dei viaggi sottilmente affascinante.”