Campaña de malware que usa certificados de firma de código válidos

Detectada campaña de malware que utiliza certificados de firma de código válidos para evitar detecciones.

Investigadores de seguridad de Elastic Security han revelado detalles acerca de una campaña de malware evasiva que hace uso de certificados de firma de código válidos para eludir medidas de seguridad y permanecer oculto en el sistema objetivo.

El binario, apodado ‘Blister’ por sus descubridores, es un cargador (o loader) que inserta cargas útiles de Cobalt Strike y BitRAT en los sistemas afectados. Se han detectado muestras del malware firmadas con un certificado de firma de código válido emitido por la empresa Sectigo que datan del 15 de septiembre de 2021.

Los detalles del certificado comprometido son los siguientes:
Issuer: Sectigo Public Code Signing CA R36
Issued to: Blist LLC
Serial number: 2f4a25d52b16eb4c9dfe71ebbd8121bb
Valid from: ‎Monday, ‎August ‎23, ‎2021 4:00:00 PM
Valid to: ‎Wednesday, ‎August ‎24, ‎2022 3:59:59 PM

De esta manera, el malware se aprovecha de la confianza de dichos certificados y del hecho de que, a menudo, los ejecutables con certificados de firma de código válidos se examinan en menor grado que los ejecutables sin firmar, logrando evadir la detección durante un período de tiempo más largo. De hecho, en el momento de publicar el descubrimiento de la campaña de malware, las muestras contaban con pocas o ninguna detecciones en Virustotal.

Blister se hace pasar por una biblioteca DLL legítima llamada ‘colorui.dll’ que se entrega a través de un ejecutable llamado ‘dxpo8umrzrr1w6gm.exe’. Después de su ejecución, permanece inactivo durante 10 minutos para intentar eludir potenciales análisis en la sandbox. Posteriormente establece persistencia creando entradas en el registro del sistema operativo, descifra la carga útil maliciosa y la inyecta en el proceso actual o en un proceso de iInforme de errores de Windows (WerFault.exe) recién generado.

Los investigadores declaran que se desconoce el vector de infección utilizado para perpetrar el ataque así como los objetivos finales de la intrusión.

Elastic Security ha alertado a la compañía emisora de los certificados para asegurarse de que los certificados ​​sean revocados.

Ver información original al respecto en Fuente>