微软可信签名服务被滥用为恶意软件签名

网络安全研究人员近日发现，犯罪团伙正在滥用微软的可信签名服务（Microsoft Trusted Signing），为恶意软件签署有效期为三天的短期代码签名证书。这些恶意软件样本由“Microsoft ID Verified CS EOC CA 01”签名，证书仅在三天内有效。尽管证书在签发后三天内到期，但值得注意的是，只要证书未被撤销，已签名的可执行文件仍会被视为有效。

防范措施与犯罪动机

为了防止滥用，微软目前仅允许经营三年以上的企业以公司名义签发证书。然而，如果个人同意以个人名义签发证书，则更容易获得批准。
网络安全研究员“Squiblydoo”向BleepingComputer表示，犯罪团伙转而使用微软的服务主要是出于便利性考虑。长期以来，使用EV证书一直是标准做法，但微软宣布了对EV证书的变更，而这一变更的细节并不明确，导致犯罪团伙可能认为仅拥有代码签名证书就足以满足其需求。此外，微软证书的验证流程比EV证书简单得多，进一步促使犯罪团伙选择这一途径。

微软的回应

针对这一滥用行为，微软表示正在通过威胁情报监控来发现和撤销被滥用的证书。微软告诉BleepingComputer：“我们使用主动的威胁情报监控不断寻找签名服务的任何误用或滥用行为。当我们检测到威胁时，我们会立即采取行动，例如广泛撤销证书和暂停账户。您分享的恶意软件样本已被我们的反恶意软件产品检测到，我们已经采取措施撤销证书并防止进一步滥用账户。”

来源：https://www.bleepingcomputer.com/news/security/microsoft-trusted-signing-service-abused-to-code-sign-malware/