شهادات التوقيع بالرمز التي تم تثبيتها في هجوم Nvidia المستخدمة للبرامج الضارة
الشهادات التي تعود إلى Nvidia والتي تم سرقتها كجزء من الهجوم الإلكتروني على صانع الرقائق في أواخر فبراير 2022 تُستخدم حاليًا لتوقيع تعليمات برمجية ضارة ، في محاولة لتجاوز الدفاعات الآلية للبرامج الضارة.
يتم استخدام الحزم الخبيثة الموقعة بشهادات Nvidia لاستهداف الأنظمة المستندة إلى Windows. تم استهداف Nvidia من قبل عصابة Lapsus $ ransomware في أواخر فبراير وتم تسريب الشهادات المعنية كجزء من الهجوم. بلغ حجم ملخص هجوم Lapsus $ حوالي 1 تيرابايت من البيانات التي يتم سحبها من خوادم صانع الرقائق.
لا تزال الشهادات منتهية الصلاحية مقبولة من قبل نظام التشغيل
بالإضافة إلى الشهادات المسروقة ، تمكنت Lapsus $ أيضًا من سرقة المخططات والسائقين وبيانات تجزئة البريد الإلكتروني وكلمة المرور الخاصة بأكثر من 70 ألف موظف في Nvidia.
انتقل باحثو الأمن إلى Twitter بعد أيام قليلة من الهجوم الأولي ، حيث أبلغوا عن استخدام الشهادات نفسها لتوقيع الثنائيات التي تحتوي على برامج ضارة. تم تحديد الحمولات التي تستخدم الشهادات المسروقة لاحقًا على أنها أمثلة على أدوات Mimikatz و Cobalt Strike والأدوات الخبيثة ذات الباب الخلفي والوصول عن بُعد.
على الرغم من انتهاء صلاحية شهادات Nvidia المسروقة ، اكتشف الباحثون أنها لا تزال قابلة للاستخدام لتوقيع برامج مثل برامج التشغيل التي يمكن نشرها بشكل جيد على أجهزة Windows.
شارك ويل دورمان ، محلل الثغرات الأمنية في CERT ، وكيفن بومونت الأرقام التسلسلية لشهادات Nvidia التي يساء استخدامها ، وهي كالتالي:
43BB437D609866286DD839E1D00309F5
14781bc862e8dc503a559346f5dcc518
تقدم Microsoft تقنيات التخفيف
قام مدير شركة Microsoft وأمن نظام التشغيل بتغريد طريقة لتقييد ما يُسمح لبرامج تشغيل Nvidia بتحميله على النظام ، لكن القيام بذلك يتطلب تعديل الإعدادات في سياسات التحكم في تطبيق Windows Defender ، وهو ليس بالأمر السهل تحديده بشكل منتظم. المستخدمين في المنزل ، ولكن يجب أن تظل مساعدة للشركات والشبكات الأكبر التي خصصت موظفي أمن تكنولوجيا المعلومات.
كجزء من هجومها على Nvidia ، طرحت عصابة Lapsus $ ransomware مطالبة بأن تجعل الشركة المصنعة للرقائق جميع برامج تشغيلها مفتوحة المصدر ، وهو أمر من الواضح أنه لن يحدث أبدًا. هدد المتسللون بالإفراج عن المصدر بأنفسهم ، لكن هذا لا يزال مجرد تهديد في هذه المرحلة.