Angriff auf vertrauenswürdige Infrastruktur
Die Certificate Authority DigiCert meldete einen erheblichen Sicherheitsvorfall: Angreifer verschafften sich Zugang zu Codesigning-Zertifikaten des Unternehmens. Der Angriffsverlauf folgte einem bewährten Muster – zunächst wurde Personal im Kundendienst mit Malware infiziert, danach wurden die Zugangsdaten und Zertifikate kompromittiert.
Wie der Angriff ablief
Das Szenario ist für Sicherheitsfachleute ein bekanntes Risiko: Mit verseuchter Schadsoftware werden Mitarbeiter gezielt angegriffen, um Zugang zu internen Systemen zu erlangen. In diesem Fall gelang es den Kriminellen, mehr als zwanzig Code-Signing-Zertifikate zu stehlen. Diese Zertifikate sind wertvoll, da sie Softwareverläufern ermöglichen, ihre Binärdateien digital zu signieren und damit als vertrauenswürdig zu markieren.
Schnelle Maßnahmen der CA
DigiCert reagierte mit sofortigen Maßnahmen: Das Incident-Response-Team identifizierte die Kompromittierung, sperrte die betroffenen Zertifikate und informierte betroffene Kunden. Die CA empfahl, Systeme auf Zeichen nicht autorisierter Code-Signaturen zu überprüfen. Dies ist wichtig, da Angreifer kompromittierte Zertifikate nutzen können, um Malware als legitim signiert zu verteilen.
Microsofts Reaktion bleibt offen
Ein kritischer Punkt ist bislang ungeklärt: Wie reagiert Microsoft auf diesen Vorfall? Der Windows-Hersteller betreibt Mechanismen wie Code-Signing-Validierung und kann kompromittierte Zertifikate auf Unternehmensgeräten blockieren. Ob und wie schnell Microsoft die gestohlenen Zertifikate in seinen Revocation-Listen einträgt, wird darüber entscheiden, wie stark die praktischen Auswirkungen dieses Vorfalls sind.
Größerer Kontext
Der Incident zeigt ein persistentes Problem: Certificate Authorities sind attraktive Angriffsziele, da ein kompromittiertes Zertifikat hohen Schaden anrichten kann. Der Fall erinnert an frühere Vorfälle, etwa mit DigiNotar (2011) oder anderen CAs, wo Zertifikatsvergabe und -verwaltung zum Angriffspunkt wurden. Mittelbare Angriffe über vertrauenswürdige Infrastruktur sind für Cyberkriminelle lukrativ, da sie Sicherheitschecks umgehen können.
Was Unternehmen tun sollten
Organisationen sollten überprüfen, ob sie von DigiCert signierte Software verwenden und deren Herkunft validieren. Zudem sind robuste Authentifizierungsmechanismen für interne Systeme essentiell – die Malware-Infektion von Support-Mitarbeitern deutet auf Lücken in der Endpoint-Security hin. Code-Signing sollte durch zusätzliche Checks und Monitoring abgesichert sein.
