利用瑞星数字签名漏洞绕过系统加固和木马防御

星空下的吻

  实际上瑞星针对数字签名的验证存在漏洞,之前已经发过很多次帖了,但是官人也表示这个版本不会修复了.
  
  参考地址:http://bbs.kafan.cn/thread-955649-1-1.html
               http://bbs.kafan.cn/thread-967893-1-1.html

  今天这个帖子就把利用的方法以及解决的方法发布出来,算是给官方一个提醒,如果利用起来,瑞星的防御岌岌可危.

  利用的方式非常简单,使用微软的命令行工具自制签名,注意该签名是有效的,只不过无法通过verisign的验证
  对于那些使用默认设置的用户,理论上可以通过添加自制签名完全绕过瑞星的主动防御.

  "不检测的程序文件"默认设置如下:







测试结果截图:

未加数字签名时:


加了自制签名后:



   经过测试,加了自制签名的程序完全可以绕过以上设置下的主动防御,并且最奇怪的是:

   仅仅勾选"云安全"中的安全文件这一选项仍然还会被利用,病毒文件仍然可以绕过防御,这个现象让我百思不得其解;

   猜测原因有二:一是添加自制数字签名后云端自动加白;二是根本这个选项是个摆设


   样本下载:
   
   
   

   建议:为了避免利用自制签名绕过瑞星的主动防御,建议将这两个选项全部去掉打勾,否则将面临这样的风险!


   希望官方人员能够重视此问题可能带来的严重后果,在下个版本更新的时候能够解决类似问题.
   事实上完全可以借鉴360的云端白名单的技术,不用在本地对数字签名进行验证.
   同时也希望广大瑞星爱好者能够明白瑞星在这方面的漏洞,多加防御!

涩涩的猪

谢谢提醒

baerzake

好家伙，逼我把云都关了是吗，恩，反正这个云也很挫，只是系统加固弹框会增多

jefffire

加签名？？怎么和09版卡巴一样。。。。

maomaojk

baerzake 发表于 2011-5-31 18:11
好家伙，逼我把云都关了是吗，恩，反正这个云也很挫，只是系统加固弹框会增多

没关系，去掉数字签名后，虽然刚开始使用，系统加固弹窗会多，但是像你这样自己可以识别出好坏程序的用户，可以对弹出的正常程序添加信任(瑞星设置里的‘白名单’)，以后窗口就少多了。

baerzake

maomaojk 发表于 2011-5-31 19:28  没关系，去掉数字签名后，虽然刚开始使用，系统加固弹窗会多，但是像你这样自己可以识别出好坏程序的用户 ...

关键我电脑不是一人用呵呵，总之希望官方能尽快改善啦

baerzake

maomaojk 发表于 2011-5-31 19:28  没关系，去掉数字签名后，虽然刚开始使用，系统加固弹窗会多，但是像你这样自己可以识别出好坏程序的用户 ...

关键我电脑不是一人用呵呵，总之希望官方能尽快改善啦

星空下的吻

baerzake 发表于 2011-5-31 20:19
关键我电脑不是一人用呵呵，总之希望官方能尽快改善啦

事实上去不去掉都一样,系统加固似乎根本就没有用到云

baerzake

星空下的吻 发表于 2011-5-31 22:01  事实上去不去掉都一样,系统加固似乎根本就没有用到云

它既然有云的设置，总不会是摆设吧，也许云端也有对有签名程序自动放行的规则？

heaven888

已上报给官方~