英伟达数据被盗后续：黑客用证书将病毒伪装成显卡驱动

ICzcz

英伟达机密数据被盗，让广大网友吃了不少瓜。但从现在起，每个人都要小心了，别只顾着吃瓜了。因为黑客们正在用被盗数据制造能骗过系统的病毒。这次泄漏的数据中，包括英伟达开发人员用于签署驱动程序和可执行文件的两个签名证书。

△ 黑客获得的签名证书之一

拿到证书后，黑客就可以把恶意程序伪装成英伟达开发的软件，比如显卡驱动，从而骗过系统。在线查毒平台 VirusTotal 显示，黑客已经开始尝试用证书给远程访问木马签名了。安全人员也注意到了这一点。



现在黑客和安全人员正在进行着一场攻防大战。黑客们将打包好的病毒上传到 VirusTotal，这里几乎集成了市面上所有杀毒软件。如果没被杀毒软件查出来，那就说明恶意代码比较安全，可以投放使用了。



除了上面所说的木马外，还有人用证书对 Windows 驱动程序进行签名。虽然用于签名的证书已经过期，但仍然会对 Windows 系统造成风险。

因为 Windows 系统为了保证向下兼容性，防止系统无法启动，在某些情况下会接受 2015 年 7 月 29 日之前证书签发的驱动程序。所以用着过期证书，病毒也一样能伪装成合法的英伟达驱动程序。



那用户应该怎么办，才能防止中毒呢？微软企业和操作系统安全总监 David Weston 在 Twitter 上给出了对策：以管理员身份配置 Windows Defender 应用程序控制策略，这样就能控制可以加载哪些驱动程序，防止病毒被加载到系统中。

然而，使用这种方法比较复杂，并不适合电脑小白。有人建议微软撤销对这两个英伟达过期证书的许可，但这又有可能导致真的英伟达驱动程序被阻止。

微软真的有点难办。不过好消息是，虽然系统自带反病毒软件不好使，但由 VirusTotal 的扫描结果显示，现在的杀毒软件很多能发现伪装的病毒，事情可能并没有想象的那么糟。

参考链接：

[1]https://www.theregister.com/2022/03/05/nvidia_stolen_certificate/

[2]https://www.bleepingcomputer.com/news/security/malware-now-using-nvidias-stolen-code-signing-certificates/

蓝天二号

由于自称为 Lapsus$ 的组织泄露了与英伟达黑客攻击相关的数据，被盗的代码签名证书被用于远程访问未受保护的 PC，其他情况下则被用来部署恶意软件。

根据 Techpowerup 的报道，这些证书被用于“开发一种新型恶意软件”，BleepingComputer 将 Cobalt Strike 信标、Mimikatz、后门和远程访问木马 (RAT) 列为通过这种方式部署的一些恶意软件。

代码签名证书是开发人员在将可执行文件和驱动程序发布给公众之前用来签署它们的东西。对于 Windows 和其他系统用户来说，这是一种更安全的方式来验证原始文件的所有权。微软要求对内核模式驱动程序进行代码签名，否则操作系统将拒绝打开文件。

如果某些流氓使用来自英伟达的正版代码签署恶意软件，用户的 PC 可能无法在恶意软件解包，对系统造成严重破坏之前拦截它。

现在，这些代码与 Quasar RAT 一起被用于签署 Windows 驱动程序的证书。VirusTotal 目前显示“46 家安全供应商和 1 个沙箱将此文件标记为恶意文件。”

由于安全研究人员 Kevin Beaumont 和 Will Dormann 的热心报道，BleepingComputer 注意到以下序列号需要注意：

· 43BB437D609866286DD839E1D00309F5

· 14781bc862e8dc503a559346f5dcc518



这两个代码实际上都是过期的英伟达签名，但您的操作系统仍会让它们以同样的方式通过。

海龙王_ccmd

这个危害可大了。

ask007

别买N 卡就没事