DigiCert im Visier: Gezielter Angriff auf Code-Signing-Zertifikate
Der Certificate Authority DigiCert ist Opfer eines gezielten Social-Engineering-Angriffs geworden. Der Vorfall zeigt, wie auch große Vertrauensanbieter über klassische Angriffsvektoren kompromittiert werden können.
Angriffsmethode: Bösartige ZIP statt Screenshot
Der Threat Actor kontaktierte DigiCerts Support-Team über einen Customer Chat Channel und gab sich als Kunde aus. Statt eines echten Screenshots sendete er eine bösartige ZIP-Datei, die als Screensaver getarnt war. Die Support-Mitarbeiter öffneten die Datei — und der Angreifer erhielt damit Zugriff auf interne Systeme.
Dieser Ansatz unterstreicht ein bekanntes Problem: Auch in Sicherheitsunternehmen sind Support-Prozesse oft ein schwacher Punkt. Support-Teams müssen responsive sein und Kundenbeschwerden schnell adressieren. Das schafft zeitlichen Druck, der zu Sicherheitsfehlentscheidungen führt.
Folgen: EV Code Signing Certificates kompromittiert
Durch den Systemzugriff konnten Angreifer Extended Validation (EV) Code Signing Certificates unberechtigt ausstellen. Diese Zertifikate sind hochgradig vertrauenswürdig und werden zur digitalen Signatur von Software verwendet. Mit gefälschten EV-Zertifikaten können Angreifer Malware signieren, die von Benutzern und Sicherheitssystemen als legitim wahrgenommen wird — ein ernsthaftes Risiko für die gesamte Software-Supply-Chain.
Implikationen für die Industrie
Der DigiCert-Fall wirft wichtige Fragen auf:
- PKI-Vertrauen: Code Signing Certificates sind fundamentale Bausteine der digitalen Infrastruktur. Wenn CAs kompromittiert werden, ist das Vertrauen in die gesamte Public Key Infrastructure gefährdet.
- Social Engineering bleibt effektiv: Trotz hoher technischer Sicherheitsstandards bleibt menschliches Versagen ein Angriffspunkt — auch bei Sicherheitsanbietern.
- Supply-Chain-Risiko: Signierte Malware kann massive Auswirkungen auf Tausende Endbenutzer haben, bevor sie entdeckt wird.
Reaktion und Mitigation
DigiCert hat den Incident gemeldet und dürfte entsprechende Maßnahmen eingeleitet haben. Typischerweise umfasst das:
- Sperrung kompromittierter Zertifikate
- Benachrichtigung betroffener Kunden
- Überprüfung aller ausgestellten Zertifikate im kritischen Zeitfenster
- Verschärfung von Support-Prozessen und Authentifizierungsmaßnahmen
Fazit
Dieser Breach zeigt: Auch CAs mit hohem Security-Level sind nicht immun gegen Social Engineering. Die Kombination aus gezielter Ansprache, realistische Tarnung und ausgenutzte Support-Workflows bleibt eine wirksame Angriffsstrategie. Organisationen sollten ihre Support-Channels zusätzlich absichern — etwa durch mehrstufige Authentifizierung bei sensitiven Vorgängen.