Dopo aver approvato il malware rootkit, Microsoft perfezionerà il processo di firma del codice
Fotografia varia/Shutterstock.com
Microsoft ha firmato un driver che contiene malware rootkit. Nonostante disponga di processi e checkpoint, come la firma del codice e il programma di compatibilità hardware di Windows (WHCP), per impedire che tali eventi si verifichino, il driver è comunque riuscito a passare.
È stato osservato che il driver Windows di terze parti, Netfilter, comunicava con IP di comando e controllo cinesi. Netfilter è stato distribuito all’interno della comunità di gioco. È stato rilevato per la prima volta dall’analista di malware di G Data Karsten Hahn (e presto ulteriormente controllato dalla comunità di infosec in generale e Bleeping Computer ), che ha immediatamente condiviso l’avviso della violazione su Twitter e ha informato Microsoft.
Sebbene Microsoft abbia confermato di aver effettivamente firmato il driver, non ci sono ancora informazioni chiare su come il driver sia riuscito a superare il processo di firma del certificato dell’azienda. Microsoft sta attualmente indagando e ha affermato che "condividerà un aggiornamento su come stiamo perfezionando le nostre politiche di accesso dei partner, la convalida e il processo di firma per migliorare ulteriormente le nostre protezioni".
Al momento, non ci sono prove che gli autori di malware abbiano rubato certificati o che l’attività possa essere attribuita a un attore di uno stato nazionale. Microsoft ha anche notato che il malware ha avuto un impatto limitato, prendendo di mira i giocatori e non gli utenti aziendali. "Abbiamo sospeso l’account e esaminato i loro invii per ulteriori segni di malware", ha condiviso Microsoft in un aggiornamento del blog.
Nonostante il malware sembri avere un impatto minimo o nullo e Microsoft stia lavorando con entusiasmo per risolvere il problema e perfezionare il processo di firma del codice, l’incidente ha comunque interrotto la fiducia degli utenti in Microsoft. L’utente medio dipende da questi certificati e checkpoint per avere un modo per sapere che gli aggiornamenti e i nuovi driver sono sicuri da installare. Questa interruzione potrebbe rendere gli utenti diffidenti nei confronti dei download futuri per un po’ di tempo.
tramite Engadget