Nel mese di aprile 2026 un incidente di sicurezza ha colpito DigiCert, uno dei principali fornitori di certificati di firma del codice. Le analisi tecniche collegano l’attacco a un cluster di attività chiamato CylindricalCanine, considerato un sottogruppo di GoldenEyeDog, un gruppo di cybercrime cinese attivo da anni e noto per campagne mirate e distribuzione di malware tramite esche credibili.
In questo caso il punto di ingresso non è stato un classico portale pubblico, ma un canale di assistenza clienti, dimostrando quanto il social engineering e la compromissione dei flussi di supporto possano diventare un vettore critico.
La catena di attacco descritta ruota attorno a una variante modulare di Gh0st RAT, un remote access trojan ampiamente riutilizzato e adattato nel tempo. Il malware viene consegnato spesso tramite file o link che simulano screenshot e documenti legittimi. Una volta eseguito, l’attaccante ottiene controllo remoto, persistenza e capacità di raccolta dati, tra cui keylogging, screenshot, enumerazione dei processi e comandi da shell. In parallelo può aprire tunnel SOCKS per muoversi nella rete e, in alcuni casi, cancellare tracce come i log eventi di Windows.
Nel compromesso DigiCert, gli attori hanno colpito un dispositivo di un membro del supporto e hanno sfruttato una funzione interna del portale che consente agli analisti autenticati di visualizzare gli account dei clienti per finalità di assistenza. Questa funzione è stata abusata per accedere ai codici di inizializzazione relativi a ordini già approvati ma non ancora consegnati per certificati EV Code Signing. L’insidia è che la combinazione di ordine approvato e codice di inizializzazione risultava di fatto sufficiente per ottenere certificati di firma del codice.
DigiCert ha quindi revocato 60 certificati emessi da diverse autorità di certificazione, e una parte di essi è stata collegata direttamente all’attore. I certificati rubati sono stati poi utilizzati per firmare malware, incluso Zhong Stealer, aumentando la credibilità dei file malevoli e riducendo le probabilità di rilevamento da parte di controlli basati su reputazione e firma digitale. Per mitigare, è stata introdotta una modifica che maschera i codici di inizializzazione agli utenti operanti tramite la funzione di accesso in modalità cliente, sia via interfaccia sia via API, evidenziando l’importanza di progettare i portali di supporto con un threat model che includa account interni compromessi.