Firma Digitale Contraffatta: Invalid Code Signature (T1036.001)
Una firma digitale valida è come un sigillo di ceralacca nell'era digitale: garantisce che il software proviene da uno sviluppatore fidato e non è stato manomesso. Gli attaccanti però hanno trovato il modo di contraffare questi sigilli, creando firme che sembrano legittime ma falliscono i controlli di validazione.
Questa tecnica di evasione difensiva (TA0005) permette ai malware di apparire più credibili agli occhi di utenti e sistemi di sicurezza. Il file mantiene i metadati di una firma autentica - nome dell'azienda, timestamp, dettagli del certificato - ma la validazione crittografica fallisce sempre.
2 gruppi APT hanno dimostrato particolare abilità in questa falsificazione digitale, mentre 7 famiglie di malware la utilizzano regolarmente. La tecnica è particolarmente insidiosa perché sfrutta la tendenza umana a fidarsi di ciò che appare ufficiale, anche quando i sistemi automatici potrebbero rilevare l'anomalia.
Per comprendere come gli attaccanti manipolano le firme digitali, iniziamo analizzando un eseguibile legittimamente firmato. Su Windows, il comando signtool verify /pa /v target.exe mostra tutti i dettagli del certificato valido.
Il trucco sta nel copiare questi metadati senza possedere la chiave privata. Gli attaccanti utilizzano tool come PeStudio o script personalizzati per estrarre la sezione Authenticode dal PE header. Una volta estratta, la inseriscono in un malware non firmato mantenendo intatti i riferimenti a Microsoft Corporation o altre aziende rinomate.
Su Linux e macOS l'approccio è simile ma usa certificati diversi. Il comando codesign -dv --verbose=4 malicious.app su macOS rivelerà firme con stato "invalid" o "untrusted". Gli attaccanti spesso utilizzano certificati revocati ma ancora riconosciuti da sistemi non aggiornati.
Per un test pratico in laboratorio:
- Estrai la firma da un file legittimo con dd if=signed.exe of=signature.bin bs=1 skip=$((0x3c)) count=2048
- Modifica un eseguibile non firmato aggiungendo i metadati estratti
- Verifica che Windows mostri il publisher name ma con avviso "firma non valida"
Tool come CFF Explorer permettono di manipolare direttamente le sezioni del PE header. La chiave è mantenere la struttura Authenticode intatta mentre si invalida la catena di verifica crittografica.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo