Certifikatat e nënshkrimit të kodit të kapura në sulmin Nvidia të përdorura për malware

Certifikatat që i përkasin Nvidia-s që u grabitën si pjesë e sulmit kibernetik ndaj prodhuesit të çipave në fund të shkurtit 2022 po përdoren aktualisht për të nënshkruar kodin me qëllim të keq, në një përpjekje për të shtyrë malware përtej mbrojtjeve të automatizuara.

Paketat me qëllim të keq të nënshkruara me certifikatat Nvidia po përdoren për të synuar sistemet e bazuara në Windows. Nvidia ishte në shënjestër të bandës së ransomware Lapsus$ në fund të shkurtit dhe certifikatat në fjalë u ekfiltruan si pjesë e sulmit. Vëllimi përmbledhës i sulmit Lapsus$ arriti në rreth 1 TB të dhëna të nxjerra nga serverët e prodhuesit të çipave.

Certifikatat e skaduara ende pranohen nga OS

Përveç certifikatave të vjedhura, Lapsus$ arriti të vidhte edhe skemat, drejtuesit dhe të dhënat e hashuara të emaileve dhe fjalëkalimeve që i përkisnin mbi 70 mijë punonjësve të Nvidia.

Studiuesit e sigurisë shkuan në Twitter disa ditë pas sulmit fillestar, duke raportuar se të njëjtat certifikata po përdoreshin për të nënshkruar binarët që përmbajnë malware. Ngarkesat që përdorin certifikatat e vjedhura u identifikuan më vonë si shembuj të Mimikatz , Cobalt Strike dhe vegla me qëllim të keq me dyer të pasme dhe akses në distancë.

Edhe pse certifikatat e vjedhura Nvidia kanë skaduar, studiuesit zbuluan se ato ishin ende të përdorshme për nënshkrimin e softuerëve të tillë si drejtuesit që do të vendoseshin mirë në makinat Windows.

Will Dormann, një analist i dobësive në CERT, dhe Kevin Beaumont ndanë numrat serialë për certifikatat e keqpërdorura Nvidia, të cilët janë si më poshtë:

43BB437D609866286DD839E1D00309F5

14781bc862e8dc503a559346f5dcc518

Microsoft ofron teknika zbutëse

Drejtori i sigurisë së ndërmarrjeve dhe sistemit operativ të Microsoft-it postoi një mënyrë për të kufizuar atë që drejtuesit e Nvidia lejohen të ngarkojnë në sistem, por për ta bërë këtë kërkon rregullim të cilësimeve në politikat e kontrollit të aplikacionit të Windows Defender, gjë që nuk është një gjë e lehtë për t'u kuptuar rregullisht. përdoruesit në shtëpi, por duhet të jenë ende ndihmë për bizneset dhe rrjetet më të mëdha që kanë staf të dedikuar për sigurinë e IT.

Si pjesë e sulmit të saj ndaj Nvidia, banda e ransomware-it Lapsus$ shtroi një kërkesë që prodhuesi i çipave t'i bëjë të gjithë drejtuesit e tij me burim të hapur, diçka që padyshim nuk do të ndodhë kurrë. Hakerët kërcënuan se do të lironin vetë burimin, por ky është ende vetëm një kërcënim në këtë pikë.