[论文解读] Issued for Abuse: Measuring the Underground Trade in Code Signing Certificate

Kristián Kozák, Bum Jun Kwon+2 more|arXiv (Cornell University)|Mar 8, 2018

Advanced Malware Detection Techniques参考文献 11被引用 6

一句话总结

本文研究了用于签署恶意软件的代码签名证书的地下市场，揭示了从被攻破的合法证书转向通过地下市场供应商直接从证书颁发机构（CA）购买证书的转变。通过分析恶意软件数据集和电子商店，作者发现45%被滥用的证书在签发后的一个月内即被使用，表明存在一个繁荣且可扩展的地下市场，使恶意软件能够绕过SmartScreen等安全防御机制。

ABSTRACT

Recent measurements of the Windows code-signing certificate ecosystem have highlighted various forms of abuse that allow malware authors to produce malicious code carrying valid digital signatures. However, the underground trade that allows miscreants to acquire such certificates is not well understood. In this paper, we illuminate two aspects of this trade. First, we investigate 4 leading vendors of Authenticode certificates, we document how they conduct business, and we estimate their market share. Second, we collect a data set of recently signed malware and we use it to study the relationships among malware developers, malware families and the certificates. We also use information from the black market to fingerprint the certificates traded and to identify when the are likely used to sign malware in the wild. Using these methods, we document a shift in the methods that malware authors employ to obtain valid digital signatures. While prior studies have reported the use of code-signing certificates that had been compromised or obtained directly from legitimate Certification Authorities, we observe that, in 2017, these methods have become secondary to purchasing certificates from underground vendors. We also find that the need to bypass platform protections such as Microsoft Defender SmartScreen plays a growing role in driving the demand for Authenticode certificates. Together, these findings suggest that the trade in certificates issued for abuse represents an emerging segment of the underground economy.

研究动机与目标

• 调查用于签署恶意软件的代码签名证书的地下交易。
• 了解恶意软件作者如何在不被察觉的情况下获取有效数字签名。
• 衡量销售代码签名证书的地下市场供应商的市场动态。
• 分析恶意软件家族、证书发布者与地下供应商之间的关系。
• 评估平台防护机制（如Microsoft Defender SmartScreen）在推动对签名恶意软件需求方面的作用。

提出的方法

• 通过论坛、市场平台和链接目录，识别并监控了4家主要的代码签名证书地下市场供应商。
• 收集并分析了一家供应商运营的专用电子商店的数据，追踪104天内的库存水平和收入。
• 使用VirusTotal Hunting API收集并分析了14,221个已签名的恶意软件样本，提取出1,163个唯一证书。
• 在已签名的恶意软件中使用可信时间戳，估算证书签发与首次用于恶意软件之间的时间间隔。
• 应用证书元数据分析（如发布者名称模式、密钥特征等），推断恶意软件样本与地下市场供应商之间的关联。
• 构建了一个图谱，连接恶意软件家族、证书发布者和地下市场供应商，以映射关系并识别开发团队。

实验结果

研究问题

• RQ1 当前恶意软件作者如何获取代码签名证书？与以往研究中依赖被攻破密钥的情况相比，有何变化？
• RQ2 2017年代码签名证书的地下市场规模和结构如何？
• RQ3 新签发的证书在签发后短时间内被用于恶意软件的程度有多大？
• RQ4 能否通过间接关联建立特定地下市场供应商与已签名恶意软件中发现的证书之间的联系？
• RQ5 平台安全机制（如SmartScreen）在推动对签名恶意软件需求方面起到什么作用？

主要发现

• 一个稳定的代码签名证书地下市场已经形成，4家主要供应商持续直接从CA购买证书进行销售。
• 一家电子商店供应商在104天内平均每天售出约1张证书，累计创收16,150美元，表明需求稳定且强劲。
• 约45%被滥用的证书在签发后一个月内即被用于签署恶意软件，表明新签发的、外观合法的证书被迅速投入使用。
• 基于元数据和时间分析，发现5个存在于已签名恶意软件样本中的证书极有可能来自被监控的电子商店。
• 趋势已从依赖从合法开发者处窃取的私钥，转变为通过地下市场供应商直接从CA获取新签发的、匿名的证书。
• 对代码签名证书的需求显著受到绕过平台防护机制（如Microsoft Defender SmartScreen）的驱动，该机制会阻止未签名的可执行文件。