Rootkit/Loader.e X2

显示全部楼层 · 发表于 2024-4-4 23:10:36

神龟Turmi 发表于 2024-4-4 23:05
但是WHQL是你传上去驱动通过审核之后自动打上去的啊
不应该有没打时间戳的情况微软并不会把签名给你让 ...

伪造签名也不应该显示过期，是会直接显示无效的

显示全部楼层 · 发表于 2024-4-4 23:11:08

00006666 发表于 2024-4-4 23:07
随便找了个微软文档，都是明确写，有效期内打的时间戳，操作系统会接受 https://learn.microsoft.com/zh ...

问题是WHQL不是给你签名让你自己打到驱动上的是直接微软那边就打好了的
应该没有办法控制它用什么时间戳或者干脆不用才对啊

显示全部楼层 · 发表于 2024-4-4 23:11:52

本帖最后由 00006666 于 2024-4-4 23:15 编辑

神龟Turmi 发表于 2024-4-4 23:11
问题是WHQL不是给你签名让你自己打到驱动上的是直接微软那边就打好了的
应该没有办法控制它用什么时间 ...

所以我感觉有可能是某种泄露签名

显示全部楼层 · 发表于 2024-4-4 23:18:29

00006666 发表于 2024-4-4 23:11
所以我感觉有可能是某种泄露签名

http://www.microsoft.com/pkiops/crl/Microsoft Windows Third Party Component CA 2014.crl
我检查了微软第三方2014根的CRL（吊销列表）
在这个版本时间微软没吊销任何的WHQL
奇怪是因为过期所以不管了吗

显示全部楼层 · 发表于 2024-4-4 23:20:10

神龟Turmi 发表于 2024-4-4 23:18
http://www.microsoft.com/pkiops/crl/Microsoft Windows Third Party Component CA 2014.crl
我检查了 ...

而且时间戳是可以伪造的，一大堆驱动打过期sha1签名+伪造时间戳，一样可以正常加载(除非开安全启动)

显示全部楼层 · 发表于 2024-4-4 23:24:14

00006666 发表于 2024-4-4 23:20
而且时间戳是可以伪造的，一大堆驱动打过期sha1签名+伪造时间戳，一样可以正常加载(除非开安全启动)

是的· 时间戳服务器不像CA有准入门槛谁都可以搭建
但是正常来说WHQL只会有微软的时间戳（指纹：b395b84e6c831cc44cee2cfa9a01a88eabd71f33）

显示全部楼层 · 发表于 2024-4-4 23:26:41

神龟Turmi 发表于 2024-4-4 23:24
是的· 时间戳服务器不像CA有准入门槛谁都可以搭建
但是正常来说WHQL只会有微软的时间戳（指纹：b395b8 ...

有可能就是这里有验证机制，所以这样本才没打时间戳

显示全部楼层 · 发表于 2024-4-4 23:47:14

神龟Turmi 发表于 2024-4-4 23:05
但是WHQL是你传上去驱动通过审核之后自动打上去的啊
不应该有没打时间戳的情况微软并不会把签名给你让 ...

但……向上查证书签发机构确实是有效的微软CA，受操作系统信任，感觉不太像假的……

显示全部楼层 · 发表于 2024-4-4 23:49:07

ANY.LNK 发表于 2024-4-4 23:47
但……向上查证书签发机构确实是有效的微软CA，受操作系统信任，感觉不太像假的……

目前应该是没有伪造签名的方法，要是有的话，数字签名就没有任何可信度了，现在见到的那些都是泄露签名+伪造时间戳。

显示全部楼层 · 发表于 2024-4-4 23:49:31

本帖最后由神龟Turmi 于 2024-4-4 23:51 编辑

ANY.LNK 发表于 2024-4-4 23:47
但……向上查证书签发机构确实是有效的微软CA，受操作系统信任，感觉不太像假的……

我也看到了很奇怪
我去多上报几家安全厂商让他们联系微软吧个人联系微软太不靠谱了
https://forums.malwarebytes.com/topic/310291-whql-signed-rootkit/

[病毒样本] Rootkit/Loader.e X2