Специалисты компании по информационной безопасности Emsisoft ПредупрежденЧто злоумышленники используют поддельные сертификаты для подписи кода, выдавая себя за Emsisoft. Злоумышленники нацелены на клиентов компании, использующих ее продукты, в надежде обойти их защиту.

Emsisoft сообщает в своем бюллетене по безопасности, что один из ее клиентов недавно стал мишенью хакеров, которые использовали исполняемый файл, подписанный поддельным сертификатом Emsisoft.

«Недавно мы заметили инцидент, в котором поддельный сертификат подписи кода, якобы принадлежащий Emsisoft, использовался для прикрытия целенаправленной атаки против одного из наших клиентов. Эта организация использовала наши продукты, и цель злоумышленников заключалась в том, чтобы заставить организацию разрешить приложение, которое злоумышленники установили и намеревались использовать, списав его обнаружение на ложное срабатывание», — заявили в Emsisoft.

Хотя атака не удалась, а программное обеспечение Emsisoft заблокировало хакерский файл из-за недействительной подписи, компания предупреждает клиентов о необходимости проявлять бдительность в отношении таких атак.

По мнению экспертов Emsisoft, злоумышленники, вероятно, получили первоначальный доступ к скомпрометированному клиентскому устройству с помощью перебора RDP или использовали украденные учетные данные, принадлежащие сотруднику атакуемой организации.

Получив доступ, злоумышленники попытались установить легитимное приложение удаленного доступа MeshCentral с открытым исходным кодом, которому обычно доверяют решения по обеспечению безопасности. Однако исполняемый файл MeshCenter в этом случае был подписан поддельным сертификатом Emsisoft, который, как утверждается, был выдан «доверенным центром сертификации сети Emsisoft Server».

В результате программное обеспечение Emsisoft просканировало файл, но пометило его как «неизвестный» из-за недействительной подписи и поместило его в карантин.

Отмечается, что если сотрудник целевой компании воспримет это предупреждение как ложное срабатывание, он может разрешить запуск приложения, а злоумышленники могут получить полный доступ к устройству.

«Этот инцидент демонстрирует, что организациям необходимо иметь несколько уровней защиты. Таким образом, если атаку нельзя было заблокировать на одном уровне, она была совершена на другом уровне», — говорит Emsisoft.