Mga kompromiso ng Hacker sa Adobe server, gamitin ito upang mag-sign digital ng mga nakakahamak na file

Adobe ay nagbabalak na bawiin ang isang sertipiko ng pag-sign ng code pagkatapos na naka-kompromiso ang mga hacker sa isa sa mga panloob na server ng kumpanya at ginamit ito upang mag-sign digital sa dalawang malisyosong mga utility.

" Natanggap namin ang mga nakakahamak na kagamitan sa huli ng gabi ng Septiyembre 12 mula sa isang solong, nakahiwalay na (walang pangalan) na pinagmulan, "sinabi ng Wiebke Lips, senior manager ng mga komunikasyon sa korporasyon sa Adobe, sa Huwebes sa pamamagitan ng email. "Sa sandaling nakumpirma na ang bisa ng mga pirma, agad naming pinasimulan ang mga hakbang upang i-deactivate at bawiin ang sertipiko na ginamit upang bumuo ng mga lagda."

Ang isa sa mga nakakahamak na utility ay isang digital na naka-sign kopya ng Pwdump7 na bersyon 7.1, na magagamit ng publiko Windows account password extraction tool na kasama rin ang isang naka-sign na kopya ng libeay32.dll OpenSSL library.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Ang ikalawang utility ay isang ISAPI filter na tinatawag na myGeeksmail.dll. Ang mga filter ng ISAPI ay maaaring i-install sa IIS o Apache para sa Windows Web server upang masugpo at baguhin ang mga stream ng

Ang dalawang rogue tool ay maaaring magamit sa isang makina matapos na ito ay nakompromiso at malamang na makapasa ng pag-scan sa pamamagitan ng software ng seguridad dahil sa kanilang Ang mga digital na lagda ay lilitaw lehitimong nagmumula sa Adobe.

"Ang ilang mga solusyon sa antivirus ay hindi nag-scan ng mga file na nilagdaan ng wastong mga digital na sertipiko na nagmumula sa mapagkakatiwalaang mga gumagawa ng software tulad ng Microsoft o Adobe," sabi ni Bogdan Botezatu, isang senior e-threat analyst sa antivirus vendor BitDefender. "Ito ay magbibigay ng malaking kalamangan sa mga attacker: Kahit na ang mga file na ito ay heuristically nakita ng lokal na naka-install na AV, sila ay laktawan sa pamamagitan ng default mula sa pag-scan, na kung saan ay higit na pinahuhusay ng mga attackers 'pagkakataon ng paggamit ng system."

Brad Arkin, Ang senior director ng Adobe ng seguridad para sa mga produkto at serbisyo, ay sumulat sa isang post sa blog na ang mga sample ng taong tampalasan ay ibinahagi sa Microsoft Active Protection Program (MAPP) kaya maaaring makita ng mga security vendor ang mga ito. Naniniwala ang Adobe na "ang karamihan ng mga gumagamit ay hindi nanganganib" dahil ang mga tool tulad ng mga na-sign ay karaniwang ginagamit sa panahon ng "mataas na naka-target na pag-atake," hindi laganap, siya wrote.

"Sa ngayon, na-flag namin ang lahat ang natanggap na sampol bilang malisyoso at patuloy naming sinusubaybayan ang kanilang heograpikal na pamamahagi, "sabi ni Botezatu. Ang BitDefender ay isa sa mga vendor ng seguridad na nakatala sa MAPP. Gayunman, hindi masabi ni Botezatu kung ang alinman sa mga file na ito ay aktibong nakita sa mga computer na protektado ng mga produkto ng kumpanya. Sinabi pa ni Botezatu, "Masyado nang maaga na sabihin, at wala pa tayong sapat na data," sabi niya.

"Sa ngayon, na-flag na namin ang lahat ng natanggap na sample bilang malisyoso at patuloy naming sinusubaybayan ang kanilang heograpikal na pamamahagi.

Sinusubaybayan ng Adobe ang kompromiso sa isang panloob na "build server" na may access sa imprastraktura sa pagpirma ng code. "Ang aming pagsisiyasat ay patuloy pa rin, ngunit sa oras na ito, lumilitaw na ang naka-apekto na build server ay unang nakompromiso noong huli ng Hulyo," sinabi ng Lips.

"Sa ngayon nakilala natin ang malware sa build server at malamang na mekanismo na ginagamit sa unang makakuha ng access sa build server, "sabi ni Arkin. "Mayroon din kaming forensic na katibayan na nagli-link sa build server sa pag-sign ng mga nakakahamak na utility."

Ang configuration ng build server ay hindi hanggang sa mga pamantayan ng korporasyon ng Adobe para sa isang server ng ganitong kalikasan, sinabi ni Arkin. "Sinisiyasat namin kung bakit nabigo ang pagkakakilanlan ng proseso sa paglalaan ng access sa code sa kasong ito na hindi nakilala ang mga kakulangan na ito."

Ang hindi ginamit na sertipiko sa pag-sign ng code ay inisyu ng VeriSign noong Disyembre 14, 2010, at naka-iskedyul na mabawi sa Adobe's humiling sa Oktubre 4. Ang operasyon na ito ay makakaapekto sa mga produkto ng Adobe software na naka-sign pagkatapos ng Hulyo 10, 2012.

"Nakakaapekto lamang ito sa software na Adobe na naka-sign sa naapektuhang certificate na tumatakbo sa platform ng Windows at tatlong mga application ng Adobe AIR na tumatakbo sa parehong Windows at Macintosh," sabi ni Arkin.

Adobe ay naglathala ng isang pahina ng tulong na naglilista ng mga apektadong produkto at naglalaman ng

Symantec, na ngayon ay nagmamay-ari at nagpapatakbo ng awtoridad ng sertipiko ng VeriSign, ay naulat na ang maling paggamit ng sertipiko sa pagpirma ng code ay nasa ilalim ng kontrol ng Adobe.

"Wala sa mga certificate ng pag-sign code ng Symantec ay nasa panganib, "sabi ni Symantec Huwebes sa isang email na pahayag. "Hindi ito kompromiso ng mga sertipiko, network o imprenta ng code ng Symantec."

Adobe decommissioned ang impormasyong ito sa pagpirma ng code at pinalitan ito ng pansamantalang serbisyo sa pag-sign na nangangailangan ng mga file na manu-mano na ma-check bago pumirma, sinabi ni Arkin. "Kami ay nasa proseso ng pagdisenyo at pag-deploy ng isang bagong, permanenteng solusyon sa pag-sign."

"Mahirap na matukoy ang mga implikasyon ng insidente na ito, dahil hindi kami sigurado na tanging ang mga ibinahaging sample ay pinirmahan nang walang pahintulot," Sinabi ni Botezatu. "Kung ang password dumper application at ang open-source SSL library ay medyo hindi nakapipinsala, ang rogue ISAPI filter ay magagamit para sa man-in-the-middle attacks - karaniwang pag-atake na manipulahin ang trapiko mula sa user sa server at vice-versa, bukod sa iba pa, "ang sabi niya.