Sonys Sicherheitszertifikat wird nach Hack für Malware missbraucht

Der massive Hack-Angriff auf Sony zieht offensichtlich immer weitere Kreise, denn offenbar sind nicht nur diverse Mitarbeiterdaten, Finanzinformationen oder auch Tarnnamen für Schauspieler an die Öffentlichkeit gelangt, sondern auch das von Sony Pictures verwendete Zertifikat für die digitale Signatur von sicherer Software. Wie der Sicherheitsdienstleister Kaspersky Labs über sein Blog SecureList mitteilte, sei man vor einigen Tagen auf eine besondere Variante des Destover-Trojaners aufmerksam geworden. Es handelt sich dabei um eine Version der gleichen Malware, die im März 2013 in Angriffen auf Systeme in Südkorea und im November 2014 auch für den folgenreichen Angriff auf die PCs von Sony Pictures verwendet wurde. Mit Sony-Zertifikat signierte Malware Das ungewöhnliche an der neuen Destover-Variante ist, dass sie mit einem gültigen digitalen Zertifikat von Sony Pictures Entertainment signiert ist - es kommt also ausgerechnet ein Sicherheitszertifikat zum Einsatz, das von jenem Unternehmen verwendet wurde, welches zuletzt unter Verwendung von Destover angegriffen wurde. Offenbar ist das Zertifikat im Rahmen des Sony-Hacks in die Hände der Angreifer gelangt und wird nun genutzt, um den Trojaner zu verbreiten.

Der neu signierte Destover-Trojaner sei in unsignierter Form bereits im Juli erstmals aufgetaucht. Die neue Variante macht es den Angreifern theoretisch einfacher, die Sicherheitsmaßnahmen von Windows zu überwinden. Nach Angaben von Kaspersky versucht der Trojaner, eine Verbindung zu zwei Steuer-Servern herzustellen, von denen jeweils einer eine IP des US-Kabelnetzanbieters Time Warner und einer eine Adresse an der thailändischen Thammasat Universität in Bangkok nutzt. Über Bangkok liefen laut jüngsten Erkenntnissen auch die Angriffe auf Sony Pictures.

Kaspersky hat bereits die Firmen Comodo und Digicert informiert, die derartige Zertifikate ausstellen. Das gestohlene Zertifikat von Sony dürfte somit bald gesperrt werden, so dass es nicht mehr gültig ist. Die meisten Antivirus-Lösungen sollten inzwischen in der Lage sein, den Destover-Trojaner auch in seiner neuen, signierten Version zu erkennen und erfolgreich zu beseitigen.