Windows證書管理疏漏被利用金山證書防火墻獨家率先攔截

2011-07-10來源：金山安全中心

摘要：金山毒霸安全中心發(fā)現(xiàn)有病毒采用新的欺騙手段，騙過安全軟件檢查。病毒作者利用Windows證書管理機制存在的漏洞，給病毒木馬偽造數(shù)字簽名。"辦假證"后的病毒木馬可騙過某些安全軟件的簽名驗證，金山毒霸特別發(fā)布證書防火墻應(yīng)對此類攻擊。

關(guān)鍵詞：Windows證書

金山毒霸安全中心發(fā)現(xiàn)有病毒采用新的欺騙手段，騙過安全軟件檢查。病毒作者利用Windows證書管理機制存在的漏洞，給病毒木馬偽造數(shù)字簽名。“辦假證”后的病毒木馬可騙過某些安全軟件的簽名驗證，金山毒霸特別發(fā)布證書防火墻應(yīng)對此類攻擊。

數(shù)字簽名管理，是計算機網(wǎng)絡(luò)系統(tǒng)中采用的一種信任機制，在電子商務(wù)和網(wǎng)上銀行業(yè)務(wù)中應(yīng)用非常廣泛。比如在淘寶購物時，淘寶方面需要驗證買家的數(shù)字簽名，以確認這筆交易真的是買家發(fā)出，而且在交易信息傳遞的過程中未被篡改。在網(wǎng)購達人的電腦上，與電子商務(wù)、網(wǎng)銀有關(guān)的數(shù)字證書都被Windows信任。

因為Windows的簽名管理機制存在一些疏漏，有病毒作者將這些本來用于電子商務(wù)信息傳遞的數(shù)字證書，簽發(fā)給病毒木馬。一些安全軟件防御機制也存在問題：并不嚴格檢查程序的數(shù)字簽名，而是見到有簽名的程序就放行。就象一個很不負責(zé)任的保安，小偷拿個假證在眼前晃一眼，保安就放行了。

“病毒作者可以繞過一些安全軟件簡單驗證數(shù)字簽名的防御機制，金山毒霸很早就放棄使用數(shù)字簽名來檢查文件安全性”。金山毒霸安全專家指出，“目前發(fā)現(xiàn)病毒用兩種手段利用Windows證書管理上的漏洞：一種是病毒自己制作一個證書，導(dǎo)入Windows系統(tǒng)，再用這個證書給病毒程序簽名；另一種是竊取他人合法簽名，仿冒證書頒發(fā)機構(gòu)。兩種方法都可以騙過不負責(zé)任的保安”。

金山毒霸云安全中心監(jiān)測到辦假證的病毒木馬逐漸增多，金山毒霸證書防火墻通過三層過濾，將“辦假證”的病毒木馬全部攔截：

第一層：攔截被列入黑簽名的程序，一些病毒木馬總是帶著特定的數(shù)字簽名，只須將這些數(shù)字簽名列入黑名單，即可實現(xiàn)攔截。

第二層：攔截所有不安全的程序在Windows中導(dǎo)入數(shù)字證書。

第三層：采用啟發(fā)式證書安全鑒定，識別偽造數(shù)字簽名又被Windows系統(tǒng)信任的危險程序。