Rootkit/Loader.e X2

显示全部楼层 · 发表于 2024-4-4 15:22:57

00006666 发表于 2024-4-4 15:15
怎么感觉像泄露版签名，正规的签名，包括微软WHQL，应该都会有时间戳，泄露签名才不打时间戳

不确定，但最近也没听说过微软WHQL签名泄露的问题……

显示全部楼层 · 发表于 2024-4-4 15:25:14

ANY.LNK 发表于 2024-4-4 15:22
不确定，但最近也没听说过微软WHQL签名泄露的问题……

如果它打时间戳，签名就会有效，操作系统会认在签名有效期内的时间戳，没打时间戳这种确实就无效签名了。

显示全部楼层 · 发表于 2024-4-4 15:37:31

00006666 发表于 2024-4-4 15:25
如果它打时间戳，签名就会有效，操作系统会认在签名有效期内的时间戳，没打时间戳这种确实就无效签名了。

问题是操作系统不看时间戳而是看签名有效日期的啊，时间戳是一个可选的选项，可以不填的

显示全部楼层 · 发表于 2024-4-4 16:24:46

FSP miss all

显示全部楼层 · 发表于 2024-4-4 16:26:52

360 Win64.Rootkit.Generic x2

显示全部楼层 · 发表于 2024-4-4 17:28:08

显示全部楼层 · 发表于 2024-4-4 19:02:52

ANY.LNK 发表于 2024-4-4 15:37
问题是操作系统不看时间戳而是看签名有效日期的啊，时间戳是一个可选的选项，可以不填的

有在签名有效期内的，时间戳，签名就有效，很多驱动有用sha1签名就是这样加载的，打一个在签名有效期的时间戳，操作系统会看时间戳，比如电脑里面一些老文件，签名都是过期的，但它签名有效。

显示全部楼层 · 发表于 2024-4-4 22:55:49

00006666 发表于 2024-4-4 19:02
有在签名有效期内的，时间戳，签名就有效，很多驱动有用sha1签名就是这样加载的，打一个在签名有效期的时 ...

不对呀？有个示例就是ProcessHacker签名的时间戳是2017年的，但其签名的有效期是在2015年之前的。所以Windows应该是看有效期的，时间戳是个可选标记

显示全部楼层 · 发表于 2024-4-4 23:05:37

ANY.LNK 发表于 2024-4-4 22:55
不对呀？有个示例就是ProcessHacker签名的时间戳是2017年的，但其签名的有效期是在2015年之前的。所以Win ...

但是WHQL是你传上去驱动通过审核之后自动打上去的啊
不应该有没打时间戳的情况微软并不会把签名给你让你自己打
对比一下WHQL和这个“WHQL”的hash？我咋感觉这个WHQL本身就是假的

显示全部楼层 · 发表于 2024-4-4 23:07:23

ANY.LNK 发表于 2024-4-4 22:55
不对呀？有个示例就是ProcessHacker签名的时间戳是2017年的，但其签名的有效期是在2015年之前的。所以Win ...

随便找了个微软文档，都是明确写，有效期内打的时间戳，操作系统会接受 https://learn.microsoft.com/zh-cn/windows/msix/package/signing-package-overview

强烈建议在使用证书对应用进行签名时使用时间戳。时间戳可以保留签名，这样，即使是在证书过期之后，应用部署平台也会接受该应用包。检查包时，可以使用时间戳根据包的签名时间验证包签名。这样，即使证书不再有效，也会接受该包。不带时间戳的包将会根据当前时间进行评估，如果证书不再有效，Windows 不会接受该包。

复制代码

[病毒样本] Rootkit/Loader.e X2